Microsoft потвърди критична уязвимост в Entra ID, за която се смяташе, че е обект на атаки

Компанията заяви, че уязвимостта за отдалечено изпълнение на код е напълно отстранена и не са необходими допълнителни действия.

Microsoft пусна корекция за сигурност за критична уязвимост за отдалечено изпълнение на код в Entra ID, открита от нейни собствени изследователи по сигурността.

Уязвимостта, проследявана като CVE-2026-69836, е свързана с десериализация на ненадеждни данни и има оценка за степен на сериозност 10 от 10, което е най-високата възможна оценка.

В бюлетин от Центъра за реагиране на въпроси на сигурността на Microsoft (MSRC), компанията заяви, че уязвимостта е напълно отстранена и от клиентите не се изискват допълнителни действия. От Microsoft добавиха, че разкриват уязвимостта с цел осигуряване на по-голяма прозрачност.

Първоначално в бюлетина за сигурност се посочваше, че уязвимостта се експлоатира активно, но в петък съобщението беше обновено, като беше уточнено, че няма данни за експлоатация. Компанията не предостави незабавно обяснение за промяната в статуса.

Microsoft Entra ID е облачен инструмент за управление на идентичността и достъпа. Entra ID стана новото име на Azure Active Directory като част от ребрандиране през 2023 г.

Компанията не предостави допълнителни подробности относно уязвимостта, включително времева линия на експлоатацията, конкретни въздействия върху клиентите или подробности за това как първоначално е била открита уязвимостта.

Бележка на редактора: Обновено с нова информация от Microsoft.