Microsoft Reverses Entra ID Exploit Claim for CVE-2026-69836 Warning
Microsoft hat die Bewertung einer Entra ID-Sicherheitslücke nach einer zunächst alarmierenden Meldung korrigiert: Ein Eintrag in der Exponierungs-Tabelle zu CVE-2026-69836 wurde von „ausgenutzt“ auf „nicht ausgenutzt“ geändert. Für betroffene Kunden ändert das zwar nichts am technischen Risiko-Score (weiterhin CVSS 10,0), jedoch widerspricht es der zuvor verbreiteten Annahme, dass bereits reale Angriffe stattgefunden hätten.
Aus „Yes“ wird „No“: Korrektur nach erster Verbreitung
- Am Donnerstag veröffentlichte Microsoft die Schwachstelle CVE-2026-69836 in seinem Security Update Guide und markierte in einer Tabelle zur Ausnutzbarkeit zunächst „Yes“.
- Mehrere Sicherheitsmedien griffen diese Angabe auf und behandelten die Lücke dadurch zeitweise wie eine bereits aktive Zero-Day.
- Am Freitag änderte Microsoft auf Anfrage die Angabe von „Yes“ auf „No“.
- Microsoft stellte dabei klar, dass es keine Hinweise gebe, dass CVE-2026-69836 „in freier Wildbahn“ ausgenutzt wurde – ohne konkrete Angriffsdetails, betroffene Kunden oder eine identifizierte Kampagne.
Warum die Lücke kritisch bleibt: Codeausführung ohne Authentifizierung
Trotz der Korrektur zur tatsächlichen Ausnutzung bleibt CVE-2026-69836 technisch als kritisch eingestuft: Microsoft vergibt weiterhin den maximal möglichen CVSS-Wert von 10,0.
Als Ursache nennt Microsoft eine unsichere Deserialisierung nicht vertrauenswürdiger Daten. Dabei werden gespeicherte oder übertragene Daten wieder in verarbeitbare Objekte umgewandelt; wenn Herkunft und Inhalt nicht ausreichend geprüft werden, können manipulierte Eingaben unerwünschte Funktionen auslösen.
Laut Microsoft hätte ein nicht authentifizierter Angreifer über das Netzwerk eigenen Code ausführen können. Dafür wären weder ein Benutzerkonto noch eine vorherige Anmeldung erforderlich gewesen, ebenso wenig eine Interaktion des Opfers. Microsoft stuft dabei Angriffskomplexität und erforderliche Voraussetzungen als niedrig ein. Ein erfolgreicher Angriff hätte laut Einschätzung die Vertraulichkeit, Integrität und Verfügbarkeit erheblich beeinträchtigen können.
- Öffentlicher Exploit-Code sei dem Unternehmen zufolge nicht bekannt.
- Die Schwachstelle wurde intern von Microsofts Sicherheitsingenieur Robert Fitzpatrick entdeckt und gemeldet.
- Weitere technische Details zum betroffenen Entra-ID-Bauteil oder zum konkreten Angriffsweg veröffentlichte Microsoft bislang nicht.
Keine Kundenaktion nötig: Entra ID wird von Microsoft selbst abgesichert
Administratoren müssen nach Microsofts Angaben keine Updates einspielen. Entra ID ist ein vollständig von Microsoft betriebener Cloud-Dienst, sodass die erforderlichen Absicherungen direkt durch Microsoft erfolgen konnten. Die Lücke sei bereits vollständig behoben; der CVE-Eintrag diene der Transparenz.
Entra ID (bis 2023 Azure Active Directory) ist die zentrale Identitäts- und Zugriffsverwaltung für Microsofts Cloud-Angebote. Der Dienst authentifiziert unter anderem Nutzer von Microsoft 365, Azure und Dynamics 365 und steuert den Zugriff auf Anwendungen sowie Ressourcen über hinterlegte Richtlinien.
