Mikä Microsoft Entra ID on?

Microsoft Entra ID on Microsoftin pilvipohjainen identiteetti- ja käyttöoikeuspalvelu. Se tunnettiin aiemmin nimellä Azure Active Directory. Palvelua käytetään käyttäjien todentamiseen ja käyttöoikeuksien hallintaan muun muassa Microsoft 365:ssä, Azuressa ja palveluun liitetyissä sovelluksissa.

NVD:n eli Yhdysvaltain NIST-standardointi- ja teknologiainstituutin ylläpitämän haavoittuvuustietokannan kuvauksen mukaan luvaton hyökkääjä saattoi suorittaa koodia verkon yli Microsoft Entra ID:ssä.

Julkaistu CVSS-vektori on:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Käytännössä tämä kuvaa haavoittuvuutta, joka on etähyödynnettävissä ilman aiempaa käyttäjätiliä tai käyttäjän osallistumista. Vektorin muuttunut vaikutusalue, eli S:C, viittaa siihen, että onnistunut hyökkäys voisi vaikuttaa myös välittömän haavoittuvan suojausrajan ulkopuolisiin resursseihin.

CVSS 10,0 kertoo riskin mahdollisesta vakavuudesta. Pistemäärä ei kuitenkaan yksin osoita, että asiakkaiden ympäristöihin olisi murtauduttu.

Kuka löysi haavoittuvuuden ja milloin se julkaistiin?

Microsoft ilmoitti antaneensa haavoittuvuuden löytämisestä kunnian Principal Security Engineer Robert Fitzpatrickille. CVE-2026-69836 julkaistiin 20. elokuuta 2026.

Koska korjaus tehtiin Microsoftin palveluympäristössä, organisaatioilla ei ole tavanomaista Entra ID -päivitystä asennettavaksi. Saatavilla olevien tietojen mukaan Microsoft katsoi ongelman kokonaan lievennetyksi ja ilmoitti, ettei asiakkailta vaadita lisätoimia.

Hyödynnettiinkö haavoittuvuutta oikeissa hyökkäyksissä?

Julkinen tieto muuttui nopeasti:

• Ensimmäisissä raporteissa Microsoftin tiedotteen kerrottiin merkinneen haavoittuvuuden hyödynnetyksi.
• Microsoft muutti 21. elokuuta tiedotteen hyväksikäyttöä koskevan kohdan arvosta ”Yes” arvoon ”No”. Yhtiö kertoi The Hacker Newsille, ettei haavoittuvuutta ollut hyödynnetty luonnossa eli todellisissa hyökkäyksissä.
• Osa muista haavoittuvuustietokannoista ja varhaisista uutisista näytti edelleen aiemman tilan, mikä synnytti ristiriitaisen julkisen tietueen.

Varovaisin johtopäätös toimitetun aineiston perusteella on, ettei vahvistettua luonnossa tapahtunutta hyväksikäyttöä ole osoitettu. Väitteisiin toteutuneista hyökkäyksistä kannattaa suhtautua varauksella, ellei niiden yhteydessä esitetä näyttöä, joka selittää alkuperäisen merkinnän ja Microsoftin myöhemmän korjauksen välisen ristiriidan.

Mitä tapauksesta ei vielä tiedetä?

Saatavilla oleva raportointi ei sisällä vahvistettuja julkisia tietoja seuraavista asioista:

• mahdollisista hyökkääjistä;
• kohteeksi joutuneista organisaatioista;
• hyödyntämisen aikajanasta tai altistumisjaksosta;
• vahvistetuista asiakasvaikutuksista; tai
• julkisesti julkaistusta hyväksikäyttökoodista tai konseptitodisteesta.

Raporttien mukaan haavoittuvuuden hyväksikäyttökoodia ei ollut saatavilla verkossa. Tämä ei todista, ettei yksityistä hyväksikäyttöä olisi voinut olla olemassa. Se tarkoittaa vain, ettei julkinen aineisto osoita sellaisen olemassaoloa.

Miksi asia on tärkeä, vaikka asiakkaiden ei tarvitse tehdä mitään?

Palvelupuolen korjaus ei tee tapauksesta organisaatioille merkityksetöntä. Entra ID toimii identiteettien ja käyttöoikeuksien hallinnan keskeisenä kontrollipisteenä. Jos kuvatun kaltainen, verkon yli ilman tunnistautumista hyödynnettävä koodinsuoritushaavoittuvuus olisi onnistuttu käyttämään, seuraukset olisivat periaatteessa voineet ulottua yhtä sovellusta laajemmalle.

Saatavilla olevat lähteet eivät kuitenkaan osoita, että tällaisia seurauksia olisi tässä tapauksessa toteutunut. Mahdollista jatkovaikutusta ei siksi pidä esittää vahvistettuna tietomurtona tai asiakasympäristöjen kompromissina.

Organisaatioilla on silti perusteltu syy pyytää Microsoftilta lisätietoja esimerkiksi seuraavista:

• kuinka pitkään palvelu oli mahdollisesti altis;
• mitä telemetriaa tai kompromissin merkkejä asiakkaat voivat tarkistaa;
• kuinka laaja palvelupuolen lievennys on; ja
• miksi hyväksikäyttöä koskeva tila muuttui.

Tällaiset tiedot auttaisivat tietoturvatiimejä tekemään dokumentoidun ja puolustettavan tapausarvion myös tilanteessa, jossa asiakaspuolen korjausta ei tarvita.

Osa laajempaa pilvipalveluiden tietoturvajulkaisua

CVE-2026-69836 julkaistiin samaan aikaan muiden erittäin vakaviksi luokiteltujen pilvi- ja yrityspalveluiden haavoittuvuuksien kanssa. Sama julkaisu sisälsi CVSS 10,0 -haavoittuvuuksia Azure SQL Databasessa, Azure Managed Instance for Apache Cassandrassa, Azure Arcissa ja Exchange Onlinessa Entra ID:n lisäksi.

Laajempi asiayhteys korostaa tiedotteiden täsmällisyyden merkitystä. Kun useita pilvipalveluita koskevia haavoittuvuuksia julkaistaan yhtä aikaa, tietoturvatiimien on voitava erottaa toisistaan ongelmat, jotka edellyttävät asiakkaalta toimia, palveluntarjoajan jo lieventämät haavoittuvuudet sekä tapaukset, joissa aktiivinen hyväksikäyttö on vahvistettu.

Yhteenveto

CVE-2026-69836 on epäluotettavien tietojen deserialisointiin liittyvä Microsoft Entra ID:n CVSS 10,0 -etäkoodinsuoritushaavoittuvuus. Microsoftin mukaan Robert Fitzpatrick löysi sen, haavoittuvuus julkaistiin 20. elokuuta ja ongelma lievennettiin kokonaan palvelupuolella.

Entra ID -asiakkaiden välitön ohje on selkeä: Microsoftin mukaan toimia ei tarvita. Tietoturva- ja riskienhallintatiimeille vaikeampi kysymys on ristiriitainen raportointi hyväksikäytöstä. Microsoftin 21. elokuuta tekemän korjauksen jälkeen julkinen näyttö ei vahvista luonnossa tapahtunutta hyväksikäyttöä, uhreja tai todellisia vaikutuksia. Seuraava tärkeä askel on saada riittävästi läpinäkyvyyttä, jotta organisaatiot voivat varmistaa tämän johtopäätöksen ja saattaa tapausarvionsa päätökseen.

Mikä Microsoft Entra ID on?

Microsoft Entra ID on Microsoftin pilvipohjainen identiteetti- ja käyttöoikeuspalvelu. Se tunnettiin aiemmin nimellä Azure Active Directory. Palvelua käytetään käyttäjien todentamiseen ja käyttöoikeuksien hallintaan muun muassa Microsoft 365:ssä, Azuressa ja palveluun liitetyissä sovelluksissa.

NVD:n eli Yhdysvaltain NIST-standardointi- ja teknologiainstituutin ylläpitämän haavoittuvuustietokannan kuvauksen mukaan luvaton hyökkääjä saattoi suorittaa koodia verkon yli Microsoft Entra ID:ssä.

Julkaistu CVSS-vektori on:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Käytännössä tämä kuvaa haavoittuvuutta, joka on etähyödynnettävissä ilman aiempaa käyttäjätiliä tai käyttäjän osallistumista. Vektorin muuttunut vaikutusalue, eli S:C, viittaa siihen, että onnistunut hyökkäys voisi vaikuttaa myös välittömän haavoittuvan suojausrajan ulkopuolisiin resursseihin.

CVSS 10,0 kertoo riskin mahdollisesta vakavuudesta. Pistemäärä ei kuitenkaan yksin osoita, että asiakkaiden ympäristöihin olisi murtauduttu.

Kuka löysi haavoittuvuuden ja milloin se julkaistiin?

Microsoft ilmoitti antaneensa haavoittuvuuden löytämisestä kunnian Principal Security Engineer Robert Fitzpatrickille. CVE-2026-69836 julkaistiin 20. elokuuta 2026.

Koska korjaus tehtiin Microsoftin palveluympäristössä, organisaatioilla ei ole tavanomaista Entra ID -päivitystä asennettavaksi. Saatavilla olevien tietojen mukaan Microsoft katsoi ongelman kokonaan lievennetyksi ja ilmoitti, ettei asiakkailta vaadita lisätoimia.

Hyödynnettiinkö haavoittuvuutta oikeissa hyökkäyksissä?

Julkinen tieto muuttui nopeasti:

• Ensimmäisissä raporteissa Microsoftin tiedotteen kerrottiin merkinneen haavoittuvuuden hyödynnetyksi.
• Microsoft muutti 21. elokuuta tiedotteen hyväksikäyttöä koskevan kohdan arvosta ”Yes” arvoon ”No”. Yhtiö kertoi The Hacker Newsille, ettei haavoittuvuutta ollut hyödynnetty luonnossa eli todellisissa hyökkäyksissä.
• Osa muista haavoittuvuustietokannoista ja varhaisista uutisista näytti edelleen aiemman tilan, mikä synnytti ristiriitaisen julkisen tietueen.

Varovaisin johtopäätös toimitetun aineiston perusteella on, ettei vahvistettua luonnossa tapahtunutta hyväksikäyttöä ole osoitettu. Väitteisiin toteutuneista hyökkäyksistä kannattaa suhtautua varauksella, ellei niiden yhteydessä esitetä näyttöä, joka selittää alkuperäisen merkinnän ja Microsoftin myöhemmän korjauksen välisen ristiriidan.

Mitä tapauksesta ei vielä tiedetä?

Saatavilla oleva raportointi ei sisällä vahvistettuja julkisia tietoja seuraavista asioista:

• mahdollisista hyökkääjistä;
• kohteeksi joutuneista organisaatioista;
• hyödyntämisen aikajanasta tai altistumisjaksosta;
• vahvistetuista asiakasvaikutuksista; tai
• julkisesti julkaistusta hyväksikäyttökoodista tai konseptitodisteesta.

Raporttien mukaan haavoittuvuuden hyväksikäyttökoodia ei ollut saatavilla verkossa. Tämä ei todista, ettei yksityistä hyväksikäyttöä olisi voinut olla olemassa. Se tarkoittaa vain, ettei julkinen aineisto osoita sellaisen olemassaoloa.

Miksi asia on tärkeä, vaikka asiakkaiden ei tarvitse tehdä mitään?

Palvelupuolen korjaus ei tee tapauksesta organisaatioille merkityksetöntä. Entra ID toimii identiteettien ja käyttöoikeuksien hallinnan keskeisenä kontrollipisteenä. Jos kuvatun kaltainen, verkon yli ilman tunnistautumista hyödynnettävä koodinsuoritushaavoittuvuus olisi onnistuttu käyttämään, seuraukset olisivat periaatteessa voineet ulottua yhtä sovellusta laajemmalle.

Saatavilla olevat lähteet eivät kuitenkaan osoita, että tällaisia seurauksia olisi tässä tapauksessa toteutunut. Mahdollista jatkovaikutusta ei siksi pidä esittää vahvistettuna tietomurtona tai asiakasympäristöjen kompromissina.

Organisaatioilla on silti perusteltu syy pyytää Microsoftilta lisätietoja esimerkiksi seuraavista:

• kuinka pitkään palvelu oli mahdollisesti altis;
• mitä telemetriaa tai kompromissin merkkejä asiakkaat voivat tarkistaa;
• kuinka laaja palvelupuolen lievennys on; ja
• miksi hyväksikäyttöä koskeva tila muuttui.

Tällaiset tiedot auttaisivat tietoturvatiimejä tekemään dokumentoidun ja puolustettavan tapausarvion myös tilanteessa, jossa asiakaspuolen korjausta ei tarvita.

Osa laajempaa pilvipalveluiden tietoturvajulkaisua

CVE-2026-69836 julkaistiin samaan aikaan muiden erittäin vakaviksi luokiteltujen pilvi- ja yrityspalveluiden haavoittuvuuksien kanssa. Sama julkaisu sisälsi CVSS 10,0 -haavoittuvuuksia Azure SQL Databasessa, Azure Managed Instance for Apache Cassandrassa, Azure Arcissa ja Exchange Onlinessa Entra ID:n lisäksi.

Laajempi asiayhteys korostaa tiedotteiden täsmällisyyden merkitystä. Kun useita pilvipalveluita koskevia haavoittuvuuksia julkaistaan yhtä aikaa, tietoturvatiimien on voitava erottaa toisistaan ongelmat, jotka edellyttävät asiakkaalta toimia, palveluntarjoajan jo lieventämät haavoittuvuudet sekä tapaukset, joissa aktiivinen hyväksikäyttö on vahvistettu.

Yhteenveto

CVE-2026-69836 on epäluotettavien tietojen deserialisointiin liittyvä Microsoft Entra ID:n CVSS 10,0 -etäkoodinsuoritushaavoittuvuus. Microsoftin mukaan Robert Fitzpatrick löysi sen, haavoittuvuus julkaistiin 20. elokuuta ja ongelma lievennettiin kokonaan palvelupuolella.

Entra ID -asiakkaiden välitön ohje on selkeä: Microsoftin mukaan toimia ei tarvita. Tietoturva- ja riskienhallintatiimeille vaikeampi kysymys on ristiriitainen raportointi hyväksikäytöstä. Microsoftin 21. elokuuta tekemän korjauksen jälkeen julkinen näyttö ei vahvista luonnossa tapahtunutta hyväksikäyttöä, uhreja tai todellisia vaikutuksia. Seuraava tärkeä askel on saada riittävästi läpinäkyvyyttä, jotta organisaatiot voivat varmistaa tämän johtopäätöksen ja saattaa tapausarvionsa päätökseen.