Microsoft hat eine Schwachstelle mit maximalem Schweregrad in Entra ID offengelegt und vollständig entschärft. Der Konzern veröffentlichte den Sicherheitseintrag am Donnerstag, dem 20. August. Die als CVE-2026-69836 erfasste Lücke ermöglichte einem nicht autorisierten Angreifer möglicherweise die Ausführung von Code aus der Ferne über ein Netzwerk. Nach Angaben von Microsoft ist für Kunden keine Maßnahme nötig, da das Unternehmen den gehosteten Dienst zentral repariert hat.
Die Meldung erhielt am Freitag besondere Aufmerksamkeit, weil Microsoft der Lücke einen CVSS-Wert von 10,0 und damit die höchste Stufe der verbreiteten Bewertungsskala zuordnete. Entra ID, früher unter dem Namen Azure Active Directory bekannt, übernimmt Authentifizierung und Zugriffskontrollen für Organisationen mit Microsoft-Cloudanwendungen und weiteren Ressourcen. Der Dienst liegt dadurch an einem besonders wichtigen Punkt zahlreicher betrieblicher Sicherheitssysteme.
Microsoft und die nationale US-Schwachstellendatenbank beschreiben den Fehler als Deserialisierung nicht vertrauenswürdiger Daten und ordnen ihn CWE-502 zu. Ein solcher Fehler entsteht, wenn Software Daten aus einer nicht vertrauenswürdigen Quelle ohne ausreichende Prüfung wieder in aktive Strukturen umwandelt. Laut Bewertung ist ein Angriff über das Netzwerk mit geringer Komplexität, ohne Rechte und ohne Mitwirkung eines Nutzers möglich; Vertraulichkeit, Integrität und Verfügbarkeit könnten stark betroffen sein.
Erste Berichte meldeten eine aktive Ausnutzung, weil Microsofts Hinweis das entsprechende Feld zunächst mit Ja kennzeichnete. Nach einer Medienanfrage korrigierte Microsoft den Eintrag am 21. August und erklärte, dass keine Ausnutzung in realen Angriffen stattgefunden habe. Auch der US-Datensatz führte am Freitag den Ausnutzungsstatus keine auf. Zugleich bewertet er das Problem als automatisierbar und nennt einen möglichen vollständigen technischen Einfluss.
Microsoft nannte den leitenden Sicherheitsingenieur Robert Fitzpatrick als Entdecker und Melder des Problems. Öffentliche Unterlagen enthalten weder Exploit-Code noch eine detaillierte Angriffskette, und das Unternehmen veröffentlichte keine technischen Angaben, die einen Missbrauch erleichtern. Da Entra ID ausschließlich als von Microsoft betriebener gehosteter Dienst läuft, spielte der Anbieter die Abhilfe zentral ein, ohne Administratoren zur Installation eines klassischen Updates aufzufordern.
Der korrigierte Status senkt das unmittelbare Vorfallrisiko, doch die Höchstwertung zeigt die Bedeutung von Cloud-Identitätsinfrastruktur als Angriffsziel. Microsoft zufolge gibt es für Administratoren keinen Patch zu installieren. Organisationen können Identitätsprotokolle und Zugriffsregeln dennoch im Rahmen ihrer normalen Sicherheitsarbeit weiter prüfen. Weitere Einzelheiten hängen von zusätzlichen technischen Hinweisen oder Transparenzinformationen ab, die Microsoft künftig veröffentlicht.
Kommentare