Microsoft corrige une faille critique de score 10 dans Entra ID exploitée activement

Microsoft ↘ 0.24% a révélé jeudi une vulnérabilité de gravité maximale dans son service d'identité cloud Entra ID, déjà exploitée par des attaquants, bien que l'entreprise affirme avoir entièrement corrigé la faille côté serveur et qu'aucune action ne soit requise de la part des clients.

Un score parfait de 10

Référencée sous le code CVE-2026-69836, la vulnérabilité affiche le score CVSS maximal de 10,0 et découle d'une désérialisation non sécurisée de données non fiables. Un attaquant non authentifié pourrait exploiter cette faille à distance via un réseau pour exécuter du code au sein d'Entra ID : le service anciennement connu sous le nom d'Azure Active Directory qui gère l'authentification et le contrôle d'accès pour Microsoft 365, Azure et les applications tierces connectées.helpnetsecurity+1

"La désérialisation de données non fiables dans Microsoft Entra ID permet à un attaquant non autorisé d'exécuter du code sur un réseau", a déclaré Microsoft dans son avis de sécurité publié jeudi.bleepingcomputer

La faille ne requiert aucun privilège ni interaction de l'utilisateur, et présente une faible complexité d'attaque, des facteurs qui expliquent ensemble sa note de gravité maximale. Microsoft a attribué la découverte et le signalement du problème à Robert Fitzpatrick, ingénieur principal en sécurité.theregister+2

Les détails de l'exploitation restent rares

Microsoft a confirmé que des cas d'exploitation ont été détectés, mais n'a partagé presque aucun détail sur les attaques. L'entreprise n'a pas révélé qui était derrière cette exploitation, quand elle a commencé, combien d'organisations ont été touchées, ni ce que les attaquants ont accompli après avoir obtenu l'accès.theregister+1

Selon BleepingComputer, Microsoft affirme que le code d'exploitation de la vulnérabilité n'est pas encore public, et l'entreprise n'a pas répondu aux demandes de commentaires supplémentaires.bleepingcomputer

Aucune action requise de la part des clients

Entra ID étant un service cloud géré par Microsoft, l'entreprise a pu corriger directement l'infrastructure vulnérable plutôt que de déployer une mise à jour à installer par les clients. "Cette vulnérabilité a déjà été entièrement corrigée par Microsoft. Aucune action n'est requise de la part des utilisateurs de ce service. L'objectif de ce CVE est d'offrir plus de transparence", a déclaré l'entreprise.theregister+1

Cette annonce est survenue en même temps que des correctifs pour quatre autres failles de gravité maximale affectant Azure Arc et Exchange Online, selon BleepingComputer. Les clients apprécieront sans doute cette transparence, mais comme l'a souligné The Register, les organisations voudront tout de même savoir qui a exploité la faille, ce à quoi ils ont accédé et combien de temps l'activité a duré avant que Microsoft n'y mette fin.bleepingcomputer+1