Microsoft ha reso nota e ha già mitigato completamente una vulnerabilità di massima gravità in Entra ID, il servizio cloud per identità e accessi, dopo la pubblicazione della scheda di sicurezza giovedì 20 agosto. La falla, identificata come CVE-2026-69836, può consentire a un aggressore non autorizzato di eseguire codice da remoto attraverso una rete. Però, secondo la società, per i clienti non è necessaria alcuna attività perché il servizio ospitato è già stato riparato centralmente.
La notizia ha ricevuto più attenzione venerdì poiché Microsoft ha assegnato alla falla un punteggio CVSS di 10,0, il livello più alto della scala più utilizzata. Entra ID, già noto come Azure Active Directory, offre autenticazione e controlli di accesso alle organizzazioni che usano applicazioni e risorse cloud di Microsoft. Perciò il servizio è collocato in un punto essenziale della realtà di sicurezza di molte società e può proteggere attività particolarmente sensibili.
Microsoft e la banca dati nazionale statunitense sulle vulnerabilità descrivono il difetto come deserializzazione di dati non affidabili, classificata CWE-502. Un errore così può verificarsi quando un software ricostruisce dati forniti da una fonte non fidata senza una validazione di qualità sufficiente. La valutazione indica che l’attacco può partire da remoto, con bassa complessità, senza privilegi né azioni dell’utente, e può avere effetti elevati su riservatezza, integrità e disponibilità.
I primi articoli hanno riferito che la vulnerabilità fosse già sfruttata, perché inizialmente il bollettino di Microsoft segnava sì nel campo relativo. Dopo una domanda dei media, il 21 agosto l’azienda ha corretto l’indicazione e ha chiarito che la falla non è stata sfruttata in attacchi reali. Anche la scheda statunitense venerdì ha indicato assenza di sfruttamento, però ha precisato che il problema è automatizzabile e potrà avere un impatto tecnico totale.
Microsoft ha attribuito la scoperta e la segnalazione a Robert Fitzpatrick, ingegnere principale della sicurezza. I documenti pubblici non contengono né codice di sfruttamento né una catena d’attacco dettagliata, e la società non ha diffuso elementi tecnici che possano facilitare abusi. Poiché Entra ID è un servizio esclusivamente ospitato e gestito da Microsoft, il fornitore ha potuto applicare la mitigazione in modo centrale, senza chiedere agli amministratori di installare un aggiornamento tradizionale.
La correzione dello stato riduce la possibilità di un incidente immediato, però il punteggio massimo mostra perché l’infrastruttura di identità cloud è una realtà di grande valore per la sicurezza. Secondo Microsoft, non c’è alcuna patch che gli amministratori dovranno applicare; le organizzazioni possono comunque continuare a verificare registri di identità e regole di accesso come attività ordinaria. Altri dettagli dipenderanno dalle indicazioni tecniche o dalle informazioni di trasparenza che la società potrà pubblicare.
Commenti