Una vulnerabilità critica di Microsoft Entra ID, il servizio cloud che gestisce identità, autenticazione e autorizzazioni per Microsoft 365, Azure e numerose applicazioni, ha ricevuto il punteggio massimo di 10.0 secondo CVSS 3.1. La falla, identificata come CVE-2026-69836, poteva consentire a un attaccante non autenticato di eseguire codice da remoto attraverso la rete.
Microsoft ha però già corretto il problema direttamente lato servizio. L’azienda ha inoltre rettificato un’informazione iniziale contenuta nel bollettino: la vulnerabilità non è stata sfruttata in attacchi reali. Di conseguenza, il caso deve essere considerato grave sul piano tecnico, ma non come una campagna attiva contro i tenant Entra ID. I clienti non devono installare patch né modificare la configurazione del servizio.
Cosa sappiamo della vulnerabilità
CVE-2026-69836 riguarda una deserializzazione di dati non attendibili. La serializzazione trasforma un oggetto in una rappresentazione che può essere trasmessa o salvata, mentre la deserializzazione lo ricostruisce. Se l’applicazione accetta dati manipolati senza controlli adeguati, l’attaccante può influenzare il modo in cui l’oggetto viene ricreato e processato.
Microsoft ha descritto la falla come una vulnerabilità che consente l’esecuzione di codice da remoto in Entra ID. Il vettore CVSS 3.1 è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. In pratica, l’attacco può essere condotto via rete, presenta una complessità ridotta, non richiede privilegi preliminari e non dipende dall’interazione di una vittima. Le conseguenze potenziali riguardano confidenzialità, integrità e disponibilità dei dati.
