Microsoft opravil kritickou chybu v Entra ID, útočníci ji aktivně zneužívali

Společnost Microsoft ↗ 0.66% ve čtvrtek informovala o zranitelnosti s maximální závažností ve své cloudové identitní službě Entra ID, kterou útočníci již aktivně zneužívali. Firma však uvádí, že chybu na straně serveru plně odstranila a od zákazníků není vyžadována žádná akce.

Maximální závažnost

Zranitelnost označená jako CVE-2026-69836 má nejvyšší možné skóre CVSS 10,0 a pramení z nebezpečné deserializace nedůvěryhodných dat. Neověřený útočník mohl tuto chybu zneužít vzdáleně přes síť ke spuštění kódu v rámci služby Entra ID, což je služba dříve známá jako Azure Active Directory, která zajišťuje ověřování a řízení přístupu pro Microsoft 365, Azure a připojené aplikace třetích stran.helpnetsecurity+1

„Deserializace nedůvěryhodných dat v Microsoft Entra ID umožňuje neoprávněnému útočníkovi spustit kód přes síť,“ uvedl Microsoft ve svém bezpečnostním varování zveřejněném ve čtvrtek.bleepingcomputer

Chyba nevyžaduje žádná oprávnění ani interakci uživatele a náročnost útoku je nízká, což jsou faktory, které společně stojí za jejím maximálním hodnocením závažnosti. Microsoft připsal zásluhy za odhalení a nahlášení problému hlavnímu bezpečnostnímu inženýrovi Robertu Fitzpatrickovi.theregister+2

Podrobnosti o zneužití zůstávají nejasné

Microsoft potvrdil, že zneužití bylo v praxi zaznamenáno, ale o útocích nesdělil téměř žádné podrobnosti. Společnost nezveřejnila, kdo za útoky stál, kdy začaly, kolik organizací bylo zasaženo ani čeho útočníci po získání přístupu dosáhli.theregister+1

Podle serveru BleepingComputer Microsoft uvádí, že kód pro zneužití této zranitelnosti není v současné době veřejně dostupný, a společnost na žádosti o další komentář nereagovala.bleepingcomputer

Od zákazníků se nevyžaduje žádná akce

Vzhledem k tomu, že Entra ID je cloudová služba provozovaná společností Microsoft, mohla firma zranitelnou infrastrukturu záplatovat přímo, namísto vydávání aktualizace, kterou by museli instalovat sami zákazníci. „Tato zranitelnost již byla společností Microsoft plně odstraněna. Uživatelé této služby nemusí podnikat žádné kroky. Účelem tohoto CVE je poskytnout větší transparentnost,“ uvedla společnost.theregister+1

K odhalení došlo souběžně s opravami čtyř dalších chyb s maximální závažností, které se týkaly služeb Azure Arc a Exchange Online, jak informoval server BleepingComputer. Zákazníci sice mohou tuto transparentnost uvítat, ale jak poznamenal server The Register, organizace budou i nadále chtít vědět, kdo chybu zneužil, k čemu získal přístup a jak dlouho tato aktivita probíhala, než ji Microsoft zastavil.bleepingcomputer+1