Mikä on CVE-2026-69836? Microsoft Entra ID:n vakava RCE-haavoittuvuus selitettynä

Lyhyesti

CVE-2026-69836 on Microsoft Entra ID:ssä havaittu kriittinen etäkoodinsuoritushaavoittuvuus. Se johtuu epäluotettavan datan deserialisoinnista, joka on luokiteltu tunnuksella CWE-502. Käytännössä palvelu käsittelee hyökkääjän toimittamaa dataa tavalla, joka voi pahimmillaan antaa hyökkääjälle mahdollisuuden suorittaa omaa koodiaan.

National Vulnerability Database (NVD) kuvaa haavoittuvuuden mahdollistavan luvattoman hyökkääjän koodin suorittamisen verkon yli.

Miksi CVSS-arvo on täydet 10,0?

Haavoittuvuuden CVSS 3.1 -arvio on 10,0 eli asteikon korkein mahdollinen. Arvio perustuu seuraaviin ominaisuuksiin:

• hyökkäys tapahtuu verkon kautta
• hyödyntäminen on vähäisen monimutkaista
• hyökkääjä ei tarvitse valmiita käyttöoikeuksia
• käyttäjän ei tarvitse tehdä mitään
• vaikutukset luottamuksellisuuteen, eheyteen ja saatavuuteen ovat kaikki korkeat.

Microsoft Entra ID on Microsoftin pilvipohjainen identiteetti- ja pääsynhallintapalvelu. Se osallistuu käyttäjien tunnistamiseen ja käyttöoikeuksien hallintaan esimerkiksi Microsoft 365:ssä, Azuressa ja ulkoisissa, Entraan yhdistetyissä sovelluksissa. Siksi tällainen haavoittuvuus on periaatteessa erityisen merkittävä: identiteettipalveluun kohdistuva onnistunut hyökkäys voisi heijastua myös muihin palveluihin.

Oliko haavoittuvuutta hyväksikäytetty?

Tieto hyväksikäytöstä muuttui nopeasti. Ensimmäisissä raporteissa Microsoftin ilmoitettiin merkinneen CVE-2026-69836:n luonnossa aktiivisesti hyväksikäytetyksi.

Microsoft korjasi kuitenkin 21. elokuuta haavoittuvuutta koskevan hyväksikäyttötiedon arvosta ”Kyllä” arvoon ”Ei”. Tämänhetkisen julkisen tiedon perusteella ei siis ole vahvistettua näyttöä siitä, että hyökkääjät olisivat käyttäneet haavoittuvuutta oikeissa hyökkäyksissä.

Julkisesti ei ole vahvistettu myöskään hyökkääjiä, uhreiksi joutuneita organisaatioita, hyökkäysten aikajanaa, todellisia vaikutuksia tai toimivaa julkista exploit-koodia. Väitteisiin aktiivisesta hyväksikäytöstä kannattaa siksi suhtautua varovaisesti, etenkin kun Microsoftin oma ilmoitus muuttui.

Tarvitseeko Entra-asiakkaan tehdä jotain?

Microsoftin mukaan ongelma lievennettiin palvelun puolella eikä Entra-asiakkaiden tarvitse asentaa erillistä korjausta tai tehdä muita toimenpiteitä.

Organisaatioiden voi silti olla järkevää dokumentoida haavoittuvuutta koskeva arvio ja seurata Microsoftin mahdollisia lisäselvityksiä. Identiteetin hallintaympäristössä pienikin epäselvyys voi vaikeuttaa myöhempää tapahtumaselvitystä.

Asiakkaille olisi hyödyllistä saada lisätietoja esimerkiksi altistumisajasta, saatavilla olevasta telemetriasta ja IoC-tunnisteista sekä siitä, miksi hyväksikäyttöä koskeva luokitus muutettiin. Nämä tiedot auttaisivat organisaatioita tekemään perustellun tarkistuksen, vaikka asiakaspuolella ei vaadittaisikaan korjaustoimia.

Osa laajempaa pilvipalveluiden päivityskokonaisuutta

Sama julkistusjakso sisälsi neljä muuta CVSS-arvon 10,0 saanutta pilvi- tai yritysympäristöjen haavoittuvuutta. Ne koskivat Azure SQL Databasea, Azure Managed Instance for Apache Cassandraa, Azure Arcia ja Exchange Onlinea Entra ID:n lisäksi.

CVE-2026-69836:n erityinen huomioarvo ei siten johdu vain sen teknisestä vakavuudesta, vaan myös siitä, että kohteena on Microsoftin identiteetti- ja pääsynhallinnan keskeinen palvelu. Tällä hetkellä tärkein johtopäätös on kuitenkin rajattu: Microsoft kertoo korjanneensa ongelman palvelupuolella, eikä julkinen näyttö vahvista haavoittuvuuden aktiivista hyväksikäyttöä.