Microsoft Entrer ID: vulnérabilité CVE-2026-69836 exploité et atténué

Microsoft a signalé l'existence d'une vulnérabilité de gravité maximale dans son service d'identité de nuage - Microsoft Entering ID - listé comme CVE-2026-69836 et avec un score CVSS de 10,0. La société affirme que l'échec a été exploité dans des environnements réels et que, selon son enquête interne, elle a déjà été atténué par Microsoft, il ne nécessite donc pas d'actions immédiates du client. Le rapport public attribue la découverte à Robert Fitzztrick, ingénieur en chef de la sécurité.

Faits confirmés: Microsoft décrit la vulnérabilité comme un cas de dérision de données peu fiables dans Entrée ID qui permet l'exécution à distance de code (CER) sur le réseau. L'identificateur d'avertissement est CVE-2026-69836 (CVSS 10.0) et l'entreprise elle-même a signalé qu'elle a détecté une exploitation active "de nature" et qu'elle a mis en œuvre des mesures d'atténuation pour neutraliser le risque, ce qui indique que les utilisateurs ne devraient pas modifier leur environnement conformément à la déclaration officielle. L'entrée dans le dépôt de vulnérabilité NIST (NVD) et la page Microsoft Security Response Center (MSRC) contiennent le suivi public de ce CVE et la note technique du fabricant ( NVD - CVE-2026-69836, MSRC - CVE-2026-69836).

Sur le plan technique, une désactivation non sécuritaire survient lorsqu'une application convertit les données reçues (p. ex. du réseau ou d'un service) en objets exécutables sans vérifier leur intégrité ou leur origine. Lorsque les attaquants contrôlent ces données, ils peuvent manipuler la structure pour injecter du code ou des objets avec des comportements malveillants qui s'exécutent dans le contexte du service que la désactivation fait. Ce type de défaillance peut entraîner non seulement l'exécution de code à distance, mais aussi le déni de service ou l'annulation des contrôles d'accès, selon la nature du composant concerné. Pour une explication générale de ce vecteur d'attaque, voir la documentation de la communauté OWASP sur la dégénérescence : OWASP - Désactivation des données non fiables.

Ce que cela signifie pour les organisations : Microsoft Entering ID (anciennement Azure Active Directory) est le service central d'identité de l'écosystème Microsoft dans le cloud; il contrôle l'authentification, les émissions de jetons, la connexion et l'application uniques et les autorisations des utilisateurs. Une URCE de ce composant peut devenir une étape critique pour un attaquant: elle pourrait compromettre la plate-forme d'identité, falsifier les jetons, créer ou modifier des comptes, ou rester dans l'environnement avec des privilèges accrus. Ces effets dépendent de la façon dont l'échec a été exploité et de l'ampleur de l'opération dans chaque exploitation, de sorte que l'impact réel varie selon les organisations.

Ce que Microsoft a confirmé ne comprend pas les détails techniques sur l'agent attaquant, les vecteurs d'exploitation spécifiques, quand l'activité a commencé, ou si l'opération est toujours en cours. Ces points restent sans information publique, laissant plusieurs inconnu:: Qui étaient les opérateurs, quels étaient les objectifs spécifiques qu ' ils recherchaient (par exemple l ' accès à la poste et aux données ou le déploiement d ' une charge utile persistante), combien de locataires étaient touchés et si les pouvoirs ou autres dispositifs étaient divulgués. Jusqu'à ce que Microsoft publie un rapport médico-légal plus détaillé, toutes les allégations concernant la portée et le but des attaques sont des estimations.

Conséquences réelles et plausibles : si la dégénérescence a été exploitée avec succès contre les cas d'identification d'entrée dans une organisation, les conséquences probables comprennent la délivrance de jetons frauduleux, l'engagement de comptes administratifs, l'accès aux ressources protégées par Azure et la persistance par le biais de lettres de créance ou de changements dans les rôles et les permis. Cependant, il n'y a pas de confirmation publique que ces scénarios se sont produits dans des cas précis; ce qui est connu, c'est que le vecteur est suffisamment sérieux pour atteindre le score maximum CVSS et que Microsoft considère que l'opération a déjà eu lieu.

Mesures concrètes à prendre par les gestionnaires techniques : d'abord, examiner la communication officielle de Microsoft au MSRC et au Centre de gestion d'entrée pour obtenir des instructions et des mises à jour. Bien que Microsoft indique qu'il n'y a pas besoin d'action client, il est prudent vérifier la télémétrie identité et authentification à la recherche d'anomalies. Étapes recommandées : vérifier les enregistrements de connexion et d'audit dans Entre ID (Portail Azure / Entre → Sign-ins / Audit Logs), rechercher l'activité des jetons inhabituels (émission de masse ou à partir de PI anormaux), examiner les attributions récentes de rôles privilégiés et les changements dans les demandes enregistrées ou les permis de délégation.

Il est également conseillé de forcer la révocation de sessions et de jetons pour des comptes sensibles à risque élevé ou transactionnel si une activité suspecte est détectée, de faire pivoter les secrets et certificats d'application lorsque cela est possible, et d'activer des alertes IMS qui pointent sur des comportements atypiques (par exemple, pour créer de nouvelles références, consentir à des applications inhabituelles, ou des élévations de privilèges hors du temps). Si votre organisation utilise l'intégration avec des fournisseurs externes ou a des applications qui reposent sur Enter ID, examinez ces paramètres et les références associées.

Mesures d'atténuation générales à l'intention des gestionnaires et des utilisateurs : maintenir la protection multifacteurs (AMF) permise pour tous les comptes privilégiés, segmenter l'administration par le biais de modèles d'accès avec un temps et des privilèges minimums, et utiliser des postes de gestion sécurisés (postes d'accès privilégiés). Pour les utilisateurs finaux, les recommandations pratiques sont les plus courantes : activer le MFA, assister et signaler les courriels suspects ou les demandes de consentement d'application et ne pas réutiliser les mots de passe.

Mesures opérationnelles immédiates pour le matériel de sécurité : confirmer l'état du service sur le portail de l'État de Microsoft et sur le MSRC; exporter et conserver les connexions pertinentes pour une analyse médico-légale éventuelle; faire appel à Microsoft Support si des preuves d'exploitation sont détectées chez votre locataire; et, en cas de confirmation d'engagement, activer votre plan d'intervention pour contenir, éradiquer et récupérer des services. Pour les critères de recherche, prioriser les événements de création de rôles, les changements dans les principaux services (directeurs de services), les émissions irrégulières de jetons et les sessions anormales de lieux non publiés.

Bref, la vulnérabilité est réelle et grave, Microsoft dit qu'il a été exploité et a déjà appliqué des mesures d'atténuation , mais il ya des détails publics cruciaux sur la portée et les attaquants . Jusqu'à ce que plus d'informations médico-légales soient disponibles, les organisations devraient augmenter la surveillance de la télémétrie d'identité, appliquer des contrôles de sécurité d'identité robustes et suivre les instructions officielles de Microsoft. Gardez une communication à jour avec votre fournisseur de services et vos équipes d'intervention en cas d'incident afin de réagir rapidement à tout signe d'engagement.