CVE-2026-69836 : la faille Microsoft Entra ID notée 10,0 au CVSS

Le 21 août, Microsoft a toutefois corrigé le champ d’exploitation de son avis, en le faisant passer de « Oui » à « Non ». La conclusion la plus prudente est donc la suivante : les éléments publics disponibles ne démontrent pas une exploitation confirmée dans la nature.

Il n’existe pas non plus, sur la base des informations disponibles, de données publiques étayées permettant d’identifier des attaquants, des organisations victimes, une chronologie d’attaque ou un impact réel. L’existence d’un code d’exploitation public n’est pas davantage établie. Les affirmations contraires doivent être examinées avec prudence.

Les clients Entra ID doivent-ils intervenir ?

Microsoft indique avoir déployé une mesure corrective côté service et précise que les clients Entra ID n’ont aucune action à effectuer. Il ne s’agit donc pas d’une mise à jour que les administrateurs devraient installer sur leurs propres serveurs.

Cela n’empêche pas les organisations de demander davantage de précisions. Pour les équipes de sécurité, il serait notamment utile de disposer d’informations claires sur :

• la période exacte d’exposition ;
• les données de télémétrie et les indicateurs de compromission à rechercher ;
• le périmètre des environnements concernés ;
• la raison de la modification du statut d’exploitation dans l’avis de sécurité.

Ces éléments aideraient les entreprises à documenter une revue d’incident défendable, même lorsqu’aucune action technique n’est requise de leur côté.

Une série de failles cloud notées 10,0

La même période de divulgation a également vu apparaître quatre autres vulnérabilités cloud ou d’entreprise affichant un score CVSS de 10,0, dans Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc et Exchange Online, en plus de celle touchant Entra ID.

Pour CVE-2026-69836, le point essentiel reste toutefois l’absence d’action corrective demandée aux clients : Microsoft affirme avoir traité le problème dans son propre service. La note maximale doit néanmoins inciter les organisations à suivre les mises à jour de l’avis et à conserver une trace de leur évaluation interne.