CVE-2026-69836: Co znamená nejzávažnější zranitelnost Microsoft Entra ID

CVE-2026-69836 je kritická zranitelnost služby Microsoft Entra ID, cloudové platformy Microsoftu pro správu identit, přihlašování a řízení přístupu. Chyba spočívá v nebezpečné deserializaci nedůvěryhodných dat a je vedena pod klasifikací CWE-502. Podle popisu v databázi NVD může neautorizovaný útočník přes síť spustit vlastní kód.

Proč má skóre CVSS 10,0

Zranitelnost získala maximální hodnocení podle metodiky CVSS 3.1. Útok je podle uvedených metrik:

• dostupný přes síť,
• má nízkou složitost,
• nevyžaduje žádná oprávnění,
• nevyžaduje interakci uživatele,
• může zásadně ohrozit důvěrnost, integritu i dostupnost systému.

Laicky řečeno: útočník by podle tohoto modelu nepotřeboval účet ani spolupráci oběti. Zranitelnost v samotné službě pro správu identit je proto mimořádně citlivá — Entra ID zprostředkovává přístup k Microsoftu 365, Azure i federovaným aplikacím.

Co znamená „deserializace nedůvěryhodných dat“

Aplikace při deserializaci převádí data z určitého formátu zpět na objekty, se kterými může pracovat. Pokud proces nedostatečně ověřuje vstup, může útočník do dat vložit škodlivé instrukce. V případě CVE-2026-69836 Microsoft popsal právě takový problém v Entra ID: zpracování nedůvěryhodných dat mohlo vést ke vzdálenému spuštění kódu.

Byla chyba skutečně zneužita?

Kolem této otázky panoval po zveřejnění zmatek. První zprávy uváděly, že Microsoft označil zranitelnost jako zneužívanou ve volné přírodě. Následně však Microsoft 21. srpna opravil pole týkající se zneužití v bezpečnostním upozornění z hodnoty „Ano“ na „Ne“.

Nejpřesnější současný závěr tedy zní, že veřejně dostupné informace . Nejsou k dispozici podložené veřejné údaje o konkrétních útočnících, obětních organizacích, časové ose útoků ani skutečných dopadech. Z dostupných podkladů také nevyplývá existence veřejně dostupného exploitu. Tvrzení, která říkají opak, je proto vhodné posuzovat obezřetně.