CVE-2026-69836: Kritisk Microsoft Entra ID-sårbarhed får CVSS 10,0

Hvad er CVE-2026-69836?

CVE-2026-69836 er en kritisk sårbarhed i Microsoft Entra ID, Microsofts cloudbaserede tjeneste til identitet og adgangsstyring. Fejlen skyldes usikker deserialisering af upålidelige data, en problemtype der er klassificeret som CWE-502.

I praksis kan en angriber sende særligt udformede data over netværket og få tjenesten til at udføre kode. Ifølge CVSS 3.1 har sårbarheden den maksimale score på 10,0: Den kan nås via netværket, kræver lav kompleksitet, ingen forudgående rettigheder og ingen brugerinteraktion. Den potentielle påvirkning er høj for fortrolighed, integritet og tilgængelighed.

Hvad ved man om udnyttelse?

Microsofts Principal Security Engineer Robert Fitzpatrick krediteres for at have opdaget sårbarheden. Den blev offentliggjort 20. august 2026.

De første rapporter angav, at Microsoft havde markeret fejlen som udnyttet i det fri. Den 21. august ændrede Microsoft imidlertid feltet for udnyttelse i sikkerhedsmeddelelsen fra "Yes" til "No".

Den mest forsvarlige konklusion er derfor, at de offentligt tilgængelige oplysninger ikke dokumenterer bekræftet aktiv udnyttelse. Der er heller ingen underbyggede offentlige oplysninger om identificerede angribere, berørte organisationer, et angrebstidspunkt eller den konkrete virkning i den virkelige verden. Det er heller ikke fastslået på baggrund af det tilgængelige materiale, at der findes offentlig exploit-kode.

Påstande om det modsatte bør derfor læses med betydelig forsigtighed.

Skal Entra-kunder gøre noget?

Microsoft oplyser, at problemet blev afhjulpet på servicesiden, og at Entra-kunder ikke behøver at foretage sig noget.

Det betyder, at der ikke er tale om en traditionel klient- eller serveropdatering, som kunderne selv skal installere. Organisationer kan dog stadig have en legitim interesse i at få flere oplysninger om:

• hvor længe sårbarheden var til stede
• hvilken telemetri eller hvilke indikatorer på kompromittering (IOC'er) kunder bør undersøge
• hvilke dele af tjenesten og hvilke kunder der var omfattet
• hvorfor status for udnyttelse blev ændret

Sådanne oplysninger kan gøre det lettere at gennemføre en dokumenterbar hændelsesundersøgelse, også når Microsoft ikke kræver en kundeside-patch.

Hvorfor er Entra ID særligt følsomt?

Entra ID fungerer som et centralt kontrolpunkt for identitet og adgang. En fjernudnyttelig, uautoriseret fejl til kodekørsel i et sådant cloudmiljø kunne i princippet få konsekvenser for autentificeringsinfrastrukturen og for adgangen til Microsoft 365, Azure og fødererede tredjepartsapplikationer.

Det er en risikovurdering af sårbarhedens potentielle rækkevidde – ikke dokumentation for, at disse systemer faktisk blev kompromitteret.

CVE-2026-69836 blev offentliggjort i samme periode som fire andre cloud- og virksomhedssårbarheder med CVSS 10,0. De berørte henholdsvis Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc og Exchange Online.