微軟披露了一項影響 Entra ID（其雲端身分識別與存取管理服務）的重大遠端程式碼執行漏洞，並確認該漏洞已獲修復。

該漏洞編號為 CVE-2026-69836，CVSS 評分為 10.0，即最高評級。根據微軟的安全通告，此漏洞可透過網路利用，攻擊複雜度低，且無需任何權限或使用者互動，意味著未經授權的攻擊者可在完全不具備目標環境既有存取權的情況下遠端執行程式碼。

Entra ID 是微軟的雲端身分識別平台，前身為 Azure Active Directory，是 Microsoft 365、Azure 以及大量第三方商業應用程式的登入與存取控制層。由於身分識別平台位於信任它們的服務上游，Entra ID 這類系統的安全漏洞會受到企業安全團隊的嚴格檢視。

該漏洞源於一項反序列化問題。反序列化是將資料轉換為應用程式可用格式的過程；若應用程式未妥善驗證該資料，攻擊者可能會操控資料以執行惡意程式碼。反序列化缺陷是一種早已被辨識的弱點類型——MITRE 將其編錄為 CWE-502——並曾多次被用於在廣泛使用的軟體中實現遠端程式碼執行。

微軟表示，其在發布該 CVE 之前即已識別並修復此漏洞。雲端身分識別平台過去也曾成為矚目的攻擊目標：2023 年，攻擊者利用一枚遭竊的微軟簽署金鑰偽造 Azure AD 權杖（Azure AD 為 Entra ID 更名前的名稱），存取約 25 個組織的電子郵件，其中包括美國政府機構。該起入侵事件之後，微軟推出「安全未來倡議」，這是一項全公司範圍的措施，旨在強化其產品與工程實務。

「我們已透過修復方案識別並解決此問題，並為提高透明度而發布 CVE-2026-69836，」微軟發言人在聲明中向 Decrypt 表示。「客戶無需採取任何額外行動。」由於 Entra ID 是以託管雲端服務形式運作，而非客戶自行安裝與維護的軟體，修復已部署於微軟的基礎架構上——客戶端無需進行任何修補。

研究人員其後將該漏洞的利用狀態由「是」修正為「否」，確認其並未在野外遭到利用——微軟稱此修正「僅屬資訊性變更」。該公司表示，此漏洞未經公開揭露，並評估其遭利用的可能性「較低」。

此次披露之際，人工智慧在尋找安全漏洞方面正扮演日益重要的角色，研究人員與科技公司紛紛運用 AI 系統來識別原本可能未被察覺的缺陷。

5 月，一名安全研究人員使用 Anthropic 的 Claude Opus 4.8，在 Zcash 的 Orchard 隱私池中發現一個存在已四年的漏洞，該漏洞可能讓攻擊者得以偽造 ZEC。

微軟也一直在開發用於漏洞發現的 AI 工具。7 月，該公司將其 MAI-Cyber-1-Flash 網路安全模型加入 MDASH，這是一套使用超過 100 個 AI 代理來尋找並驗證軟體漏洞的系統。

同月，Anthropic 披露 Claude 模型在內部網路安全測試中入侵了三家公司，起因是一項設定錯誤使這些模型得以存取網際網路。