Hvad er CVE-2026-69836?

Microsoft Entra ID er Microsofts cloudbaserede tjeneste til identitet og adgangsstyring. Tjenesten hed tidligere Azure Active Directory og bruges til blandt andet autentificering og adgangskontrol i Microsoft 365, Azure og tilknyttede tredjepartsapplikationer.

Ifølge sårbarhedsbeskrivelsen kunne usikker behandling af serialiserede data give en uautoriseret angriber mulighed for at køre kode over et netværk.

Den offentliggjorte CVSS-vektor er:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

I praksis betyder vurderingen, at angrebet kan udføres eksternt med lav kompleksitet, uden en eksisterende konto og uden at en bruger skal foretage sig noget. »Changed scope« betyder desuden, at en vellykket kompromittering potentielt kan påvirke ressourcer uden for den sikkerhedsmyndighed, der umiddelbart er sårbar.

En CVSS-score på 10,0 beskriver et meget alvorligt risikoscenarie. Den er ikke i sig selv et bevis på, at kundemiljøer faktisk blev kompromitteret.

Opdagelse og offentliggørelse

Microsoft krediterer Principal Security Engineer Robert Fitzpatrick for at have opdaget sårbarheden. CVE-2026-69836 blev offentliggjort 20. august 2026.

Fordi Microsoft har afhjulpet problemet på serversiden, er der ingen traditionel Entra ID-opdatering, som organisationer skal rulle ud. De tilgængelige oplysninger siger, at Microsoft vurderede problemet som fuldt afhjulpet og meddelte kunderne, at der ikke kræves yderligere handling.

Blev sårbarheden udnyttet i praksis?

Den offentlige beskrivelse af hændelsen ændrede sig hurtigt:

• De første rapporter sagde, at Microsofts bulletin markerede sårbarheden som udnyttet.
• Den 21. august ændrede Microsoft feltet for udnyttelse i sin bulletin fra »Yes« til »No« og oplyste til The Hacker News, at sårbarheden ikke var blevet udnyttet i den virkelige verden.
• Andre sårbarhedsdatabaser og tidlige artikler viste fortsat den tidligere status, hvilket skabte en modstridende offentlig optegnelse.

Den mest forsvarlige konklusion ud fra det tilgængelige materiale er derfor, at bekræftet udnyttelse i den virkelige verden ikke er dokumenteret. Påstande om bekræftede angreb bør vurderes med forsigtighed, medmindre de forklarer forskellen mellem den oprindelige bulletin og Microsofts efterfølgende rettelse.

Hvad ved vi stadig ikke?

De tilgængelige offentlige oplysninger identificerer ikke på et dokumenteret grundlag:

• de formodede angribere;
• berørte kundeorganisationer;
• en tidslinje for udnyttelsen eller et eksponeringsvindue;
• bekræftet påvirkning af kunder; eller
• en offentligt udgivet exploit eller proof of concept.

Tidlige rapporter oplyste specifikt, at exploitkode ikke var tilgængelig online. Det beviser ikke, at der ikke fandtes en privat exploit. Det betyder alene, at det offentlige materiale ikke dokumenterer en sådan exploit.

Hvorfor er sagen stadig vigtig?

At kunderne ikke skal installere en patch, gør ikke offentliggørelsen irrelevant. Entra ID fungerer som et centralt kontrolpunkt for identitet og adgang. En sårbarhed med de offentliggjorte egenskaber ville derfor fortjene grundig opmærksomhed, fordi kodekørsel i en identitetstjeneste i princippet kan få konsekvenser, der rækker ud over én enkelt applikation.

De tilgængelige kilder dokumenterer dog ikke, at sådanne konsekvenser indtraf i denne sag. Mulig afledt påvirkning må derfor ikke fremstilles som en bekræftet kompromittering.

Organisationer kan med god grund ønske, at Microsoft præciserer:

• hvor længe tjenesten var eksponeret;
• hvilke telemetridata eller indikatorer på kompromittering kunder kan gennemgå;
• hvad den serverbaserede afhjælpning konkret omfattede; og
• hvorfor udnyttelsesstatus blev ændret.

Den information ville gøre det lettere for sikkerhedsteams at gennemføre en dokumenterbar hændelsesvurdering, også når Microsoft siger, at kunderne ikke skal foretage sig noget.

Del af en bredere cloud-sikkerhedsudrulning

CVE-2026-69836 blev offentliggjort sammen med andre cloud- og enterprise-sårbarheder med den maksimale alvorlighedsgrad. Den samme udgivelse omfattede CVSS 10,0-problemer i Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc og Exchange Online ud over Entra ID.

Den bredere sammenhæng gør præcise bulletindata ekstra vigtige. Når flere cloudtjenester får fejl med maksimal score på samme tid, skal sikkerhedsteams kunne skelne mellem sårbarheder, der kræver kundehåndtering, problemer som udbyderen allerede har afhjulpet, og fejl med bekræftet udnyttelse.

Konklusion

CVE-2026-69836 er en RCE-sårbarhed med maksimal alvorlighedsgrad i Microsoft Entra ID og er knyttet til usikker deserialisering. Microsoft krediterer Robert Fitzpatrick for opdagelsen, offentliggjorde fejlen 20. august og siger, at den er fuldt afhjulpet på tjenestesiden.

For kunderne er den umiddelbare besked enkel: Microsoft siger, at der ikke kræves nogen handling. For sikkerheds- og risikoteams er den vanskeligere opgave at fortolke de modstridende oplysninger om udnyttelse. Efter rettelsen 21. august dokumenterer de offentligt tilgængelige oplysninger ikke bekræftet udnyttelse, berørte organisationer eller reel påvirkning. Den vigtigste opfølgning er derfor at få tilstrækkelig gennemsigtighed til at efterprøve den konklusion og afslutte organisationens hændelsesgennemgang.

Hvad er CVE-2026-69836?

Microsoft Entra ID er Microsofts cloudbaserede tjeneste til identitet og adgangsstyring. Tjenesten hed tidligere Azure Active Directory og bruges til blandt andet autentificering og adgangskontrol i Microsoft 365, Azure og tilknyttede tredjepartsapplikationer.

Ifølge sårbarhedsbeskrivelsen kunne usikker behandling af serialiserede data give en uautoriseret angriber mulighed for at køre kode over et netværk.

Den offentliggjorte CVSS-vektor er:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

I praksis betyder vurderingen, at angrebet kan udføres eksternt med lav kompleksitet, uden en eksisterende konto og uden at en bruger skal foretage sig noget. »Changed scope« betyder desuden, at en vellykket kompromittering potentielt kan påvirke ressourcer uden for den sikkerhedsmyndighed, der umiddelbart er sårbar.

En CVSS-score på 10,0 beskriver et meget alvorligt risikoscenarie. Den er ikke i sig selv et bevis på, at kundemiljøer faktisk blev kompromitteret.

Opdagelse og offentliggørelse

Microsoft krediterer Principal Security Engineer Robert Fitzpatrick for at have opdaget sårbarheden. CVE-2026-69836 blev offentliggjort 20. august 2026.

Fordi Microsoft har afhjulpet problemet på serversiden, er der ingen traditionel Entra ID-opdatering, som organisationer skal rulle ud. De tilgængelige oplysninger siger, at Microsoft vurderede problemet som fuldt afhjulpet og meddelte kunderne, at der ikke kræves yderligere handling.

Blev sårbarheden udnyttet i praksis?

Den offentlige beskrivelse af hændelsen ændrede sig hurtigt:

• De første rapporter sagde, at Microsofts bulletin markerede sårbarheden som udnyttet.
• Den 21. august ændrede Microsoft feltet for udnyttelse i sin bulletin fra »Yes« til »No« og oplyste til The Hacker News, at sårbarheden ikke var blevet udnyttet i den virkelige verden.
• Andre sårbarhedsdatabaser og tidlige artikler viste fortsat den tidligere status, hvilket skabte en modstridende offentlig optegnelse.

Den mest forsvarlige konklusion ud fra det tilgængelige materiale er derfor, at bekræftet udnyttelse i den virkelige verden ikke er dokumenteret. Påstande om bekræftede angreb bør vurderes med forsigtighed, medmindre de forklarer forskellen mellem den oprindelige bulletin og Microsofts efterfølgende rettelse.

Hvad ved vi stadig ikke?

De tilgængelige offentlige oplysninger identificerer ikke på et dokumenteret grundlag:

• de formodede angribere;
• berørte kundeorganisationer;
• en tidslinje for udnyttelsen eller et eksponeringsvindue;
• bekræftet påvirkning af kunder; eller
• en offentligt udgivet exploit eller proof of concept.

Tidlige rapporter oplyste specifikt, at exploitkode ikke var tilgængelig online. Det beviser ikke, at der ikke fandtes en privat exploit. Det betyder alene, at det offentlige materiale ikke dokumenterer en sådan exploit.

Hvorfor er sagen stadig vigtig?

At kunderne ikke skal installere en patch, gør ikke offentliggørelsen irrelevant. Entra ID fungerer som et centralt kontrolpunkt for identitet og adgang. En sårbarhed med de offentliggjorte egenskaber ville derfor fortjene grundig opmærksomhed, fordi kodekørsel i en identitetstjeneste i princippet kan få konsekvenser, der rækker ud over én enkelt applikation.

De tilgængelige kilder dokumenterer dog ikke, at sådanne konsekvenser indtraf i denne sag. Mulig afledt påvirkning må derfor ikke fremstilles som en bekræftet kompromittering.

Organisationer kan med god grund ønske, at Microsoft præciserer:

• hvor længe tjenesten var eksponeret;
• hvilke telemetridata eller indikatorer på kompromittering kunder kan gennemgå;
• hvad den serverbaserede afhjælpning konkret omfattede; og
• hvorfor udnyttelsesstatus blev ændret.

Den information ville gøre det lettere for sikkerhedsteams at gennemføre en dokumenterbar hændelsesvurdering, også når Microsoft siger, at kunderne ikke skal foretage sig noget.

Del af en bredere cloud-sikkerhedsudrulning

CVE-2026-69836 blev offentliggjort sammen med andre cloud- og enterprise-sårbarheder med den maksimale alvorlighedsgrad. Den samme udgivelse omfattede CVSS 10,0-problemer i Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc og Exchange Online ud over Entra ID.

Den bredere sammenhæng gør præcise bulletindata ekstra vigtige. Når flere cloudtjenester får fejl med maksimal score på samme tid, skal sikkerhedsteams kunne skelne mellem sårbarheder, der kræver kundehåndtering, problemer som udbyderen allerede har afhjulpet, og fejl med bekræftet udnyttelse.

Konklusion

CVE-2026-69836 er en RCE-sårbarhed med maksimal alvorlighedsgrad i Microsoft Entra ID og er knyttet til usikker deserialisering. Microsoft krediterer Robert Fitzpatrick for opdagelsen, offentliggjorde fejlen 20. august og siger, at den er fuldt afhjulpet på tjenestesiden.

For kunderne er den umiddelbare besked enkel: Microsoft siger, at der ikke kræves nogen handling. For sikkerheds- og risikoteams er den vanskeligere opgave at fortolke de modstridende oplysninger om udnyttelse. Efter rettelsen 21. august dokumenterer de offentligt tilgængelige oplysninger ikke bekræftet udnyttelse, berørte organisationer eller reel påvirkning. Den vigtigste opfølgning er derfor at få tilstrækkelig gennemsigtighed til at efterprøve den konklusion og afslutte organisationens hændelsesgennemgang.