Mis à jour pour ajouter : À l’époque Le registre En publiant cet article, Microsoft indiquait au public que cette faille était exploitée de manière sauvage. Il nous a ensuite contacté après publication pour nous dire qu’il avait « corrigé » la désignation « Exploité » de ce CVE en « Non », précisant que (contrairement à ce qu’il disait précédemment), la faille n’était pas attaquée. Microsoft nous a dit : « Il s’agissait d’un changement purement informatif. »
Microsoft a corrigé une vulnérabilité de gravité maximale dans Entra ID.
Suivie comme CVE-2026-69836, la vulnérabilité porte le score CVSS maximum de 10,0 et pourrait permettre à un attaquant non authentifié d’exécuter du code à distance dans le service d’identité cloud de Microsoft. Microsoft a révélé la faille jeudi.
Entra ID, anciennement connu sous le nom d’Azure Active Directory, est au cœur de la gestion des identités et des accès pour les clients Microsoft, gérant l’authentification et l’accès aux applications cloud et autres ressources de l’entreprise.
AD ENREGISTREMENT
Selon Microsoft, la vulnérabilité provient d’une désérialisation dangereuse, dans laquelle un logiciel reconstruit les données fournies par une source non fiable sans les valider de manière adéquate. Un attaquant pourrait exploiter la faiblesse d’un réseau sans compte et – surtout – sans persuader un utilisateur de cliquer, d’ouvrir ou de faire quoi que ce soit d’utile.
AD ENREGISTREMENT
« La désérialisation des données non fiables dans Microsoft Entra ID permet à un attaquant non autorisé d’exécuter du code sur un réseau », indique l’avis de Microsoft.
Il n’y a pas non plus de détails techniques publics expliquant la chaîne d’attaque, et Microsoft n’a pas immédiatement répondu. Le registre questions.
Il y a cependant une nouvelle bienvenue pour les administrateurs : aucun correctif déployé par le client n’est requis.
« Cette vulnérabilité a déjà été entièrement atténuée par Microsoft », a indiqué la société. « Les utilisateurs de ce service n’ont aucune mesure à prendre. »
Étant donné qu’Entra ID est un service cloud exploité par Microsoft, Redmond pourrait réparer lui-même l’infrastructure vulnérable plutôt que d’envoyer une mise à jour à installer par les clients.
Les métriques CVSS expliquent le 10 parfait : la faille est exploitable à distance, présente une faible complexité d’attaque, ne nécessite ni privilèges ni interaction de l’utilisateur et pourrait avoir un impact élevé sur la confidentialité, l’intégrité et la disponibilité.
Microsoft a crédité l’ingénieur principal en sécurité, Robert Fitzpatrick, pour avoir découvert et signalé la vulnérabilité, bien que l’avis n’explique pas comment l’entreprise a détecté son exploitation dans la nature. ®
