Apakah CVE-2026-69836?

Microsoft Entra ID ialah perkhidmatan awan yang mengurus identiti, pengesahan dan akses kepada perkhidmatan Microsoft serta aplikasi berkaitan. Menurut penerangan kerentanan, pengendalian data bersiri yang tidak selamat boleh membolehkan penyerang tanpa kebenaran melaksanakan kod melalui rangkaian.

Vektor CVSS yang diterbitkan ialah:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Dalam bahasa mudah, penyerang berpotensi melancarkan serangan dari jauh tanpa akaun sedia ada dan tanpa memerlukan pengguna mengklik, membuka fail atau melakukan sebarang tindakan. Penanda “changed scope” pula menunjukkan bahawa kompromi yang berjaya boleh menjejaskan sumber di luar pihak berkuasa keselamatan yang terjejas secara langsung.

Namun, skor 10.0 hanya menggambarkan tahap risiko teknikal yang berpotensi. Ia tidak membuktikan, dengan sendirinya, bahawa persekitaran pelanggan telah dikompromi.

Penemuan dan pendedahan

Microsoft mengkreditkan Robert Fitzpatrick, Jurutera Keselamatan Utama di Microsoft, sebagai penemu kerentanan ini. CVE-2026-69836 didedahkan pada 20 Ogos 2026.

Oleh sebab mitigasi dilakukan pada bahagian pelayan, organisasi tidak mempunyai kemas kini Entra ID konvensional untuk dimuat turun atau dipasang. Laporan yang tersedia menyatakan Microsoft menganggap isu itu telah dimitigasi sepenuhnya dan memaklumkan pelanggan bahawa tiada tindakan lanjut diperlukan.

Adakah kerentanan ini dieksploitasi di dunia sebenar?

Rekod awam mengenai perkara ini berubah dalam tempoh yang singkat:

• Laporan awal menyatakan buletin Microsoft menandakan kerentanan ini sebagai telah dieksploitasi.
• Pada 21 Ogos, Microsoft membetulkan medan eksploitasi dalam buletinnya daripada “Yes” kepada “No” dan memberitahu The Hacker News bahawa kerentanan itu tidak dieksploitasi di dunia sebenar.
• Beberapa pangkalan data kerentanan dan laporan awal masih memaparkan status eksploitasi yang lama, lalu menghasilkan rekod awam yang bercanggah.

Kesimpulan paling berhati-hati berdasarkan bukti yang tersedia ialah eksploitasi di dunia sebenar yang telah disahkan belum dapat dibuktikan. Dakwaan tentang serangan yang telah disahkan wajar diteliti dengan cermat, melainkan ia menyertakan bukti yang dapat menjelaskan percanggahan antara catatan awal dan pembetulan Microsoft.

Perkara yang masih belum diketahui

Setakat maklumat awam yang disokong dalam laporan tersedia, tiada butiran kukuh yang mengenal pasti:

• pihak penyerang;
• organisasi pelanggan yang terjejas;
• garis masa atau tempoh pendedahan serangan;
• kesan sebenar terhadap pelanggan; atau
• eksploitasi atau bukti konsep yang diterbitkan kepada umum.

Laporan yang tersedia secara khusus menyatakan bahawa kod eksploitasi belum tersedia dalam talian. Ini tidak membuktikan bahawa eksploitasi persendirian tidak pernah wujud; ia hanya bermaksud bukti awam belum cukup untuk mengesahkannya.

Mengapa organisasi masih perlu mengambil berat?

Ketiadaan tampalan yang perlu dipasang pelanggan tidak bermakna pendedahan ini boleh diketepikan. Entra ID ialah perkhidmatan kawalan identiti. Kerentanan RCE yang boleh dicapai melalui rangkaian, tidak memerlukan pengesahan dan mempunyai ciri teknikal seperti yang diterbitkan akan wajar diberi perhatian serius kerana kompromi pada platform identiti boleh membawa kesan melangkaui satu aplikasi.

Walau bagaimanapun, sumber yang tersedia tidak membuktikan bahawa kesan tersebut berlaku dalam insiden ini. Oleh itu, kemungkinan kesan susulan tidak sepatutnya dilaporkan sebagai kompromi yang telah disahkan.

Pasukan keselamatan organisasi sememangnya mempunyai alasan munasabah untuk meminta Microsoft menjelaskan:

• tempoh sebenar pendedahan;
• telemetri atau petunjuk kompromi yang berkaitan;
• skop mitigasi di pihak pelayan; dan
• sebab status eksploitasi berubah.

Maklumat ini akan membantu pasukan keselamatan melengkapkan semakan insiden yang boleh dipertahankan, walaupun tiada tindakan pelanggan diperlukan.

Sebahagian daripada pendedahan keselamatan awan yang lebih besar

CVE-2026-69836 didedahkan bersama beberapa kerentanan awan dan perusahaan lain yang turut menerima skor maksimum. Keluaran yang sama merangkumi isu CVSS 10.0 dalam Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc dan Exchange Online, selain Entra ID.

Konteks yang lebih luas ini menjadikan ketepatan data nasihat keselamatan semakin penting. Apabila beberapa perkhidmatan awan menerima pembetulan berperingkat maksimum pada masa yang sama, pasukan keselamatan perlu dapat membezakan antara kerentanan yang memerlukan pemulihan oleh pelanggan, isu yang sudah ditangani penyedia, dan kelemahan yang benar-benar mempunyai bukti eksploitasi.

Kesimpulan

CVE-2026-69836 ialah kerentanan RCE Microsoft Entra ID dengan tahap kritikal maksimum, dikaitkan dengan penyahserialan data tidak dipercayai. Microsoft mengkreditkan Robert Fitzpatrick sebagai penemunya, mendedahkan isu itu pada 20 Ogos dan menyatakan bahawa ia telah dimitigasi sepenuhnya di pihak perkhidmatan.

Bagi pelanggan, arahan segera adalah mudah: Microsoft menyatakan tiada tindakan diperlukan. Bagi pasukan keselamatan dan pengurusan risiko, cabaran yang lebih besar ialah mentafsir laporan eksploitasi yang bercanggah.

Berdasarkan pembetulan pada 21 Ogos, bukti awam belum mengesahkan eksploitasi di dunia sebenar, organisasi yang terjejas atau impak sebenar. Keutamaan seterusnya ialah mendapatkan ketelusan yang mencukupi untuk mengesahkan kesimpulan itu dan menutup jurang dalam semakan insiden.

Apakah CVE-2026-69836?

Microsoft Entra ID ialah perkhidmatan awan yang mengurus identiti, pengesahan dan akses kepada perkhidmatan Microsoft serta aplikasi berkaitan. Menurut penerangan kerentanan, pengendalian data bersiri yang tidak selamat boleh membolehkan penyerang tanpa kebenaran melaksanakan kod melalui rangkaian.

Vektor CVSS yang diterbitkan ialah:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Dalam bahasa mudah, penyerang berpotensi melancarkan serangan dari jauh tanpa akaun sedia ada dan tanpa memerlukan pengguna mengklik, membuka fail atau melakukan sebarang tindakan. Penanda “changed scope” pula menunjukkan bahawa kompromi yang berjaya boleh menjejaskan sumber di luar pihak berkuasa keselamatan yang terjejas secara langsung.

Namun, skor 10.0 hanya menggambarkan tahap risiko teknikal yang berpotensi. Ia tidak membuktikan, dengan sendirinya, bahawa persekitaran pelanggan telah dikompromi.

Penemuan dan pendedahan

Microsoft mengkreditkan Robert Fitzpatrick, Jurutera Keselamatan Utama di Microsoft, sebagai penemu kerentanan ini. CVE-2026-69836 didedahkan pada 20 Ogos 2026.

Oleh sebab mitigasi dilakukan pada bahagian pelayan, organisasi tidak mempunyai kemas kini Entra ID konvensional untuk dimuat turun atau dipasang. Laporan yang tersedia menyatakan Microsoft menganggap isu itu telah dimitigasi sepenuhnya dan memaklumkan pelanggan bahawa tiada tindakan lanjut diperlukan.

Adakah kerentanan ini dieksploitasi di dunia sebenar?

Rekod awam mengenai perkara ini berubah dalam tempoh yang singkat:

• Laporan awal menyatakan buletin Microsoft menandakan kerentanan ini sebagai telah dieksploitasi.
• Pada 21 Ogos, Microsoft membetulkan medan eksploitasi dalam buletinnya daripada “Yes” kepada “No” dan memberitahu The Hacker News bahawa kerentanan itu tidak dieksploitasi di dunia sebenar.
• Beberapa pangkalan data kerentanan dan laporan awal masih memaparkan status eksploitasi yang lama, lalu menghasilkan rekod awam yang bercanggah.

Kesimpulan paling berhati-hati berdasarkan bukti yang tersedia ialah eksploitasi di dunia sebenar yang telah disahkan belum dapat dibuktikan. Dakwaan tentang serangan yang telah disahkan wajar diteliti dengan cermat, melainkan ia menyertakan bukti yang dapat menjelaskan percanggahan antara catatan awal dan pembetulan Microsoft.

Perkara yang masih belum diketahui

Setakat maklumat awam yang disokong dalam laporan tersedia, tiada butiran kukuh yang mengenal pasti:

• pihak penyerang;
• organisasi pelanggan yang terjejas;
• garis masa atau tempoh pendedahan serangan;
• kesan sebenar terhadap pelanggan; atau
• eksploitasi atau bukti konsep yang diterbitkan kepada umum.

Laporan yang tersedia secara khusus menyatakan bahawa kod eksploitasi belum tersedia dalam talian. Ini tidak membuktikan bahawa eksploitasi persendirian tidak pernah wujud; ia hanya bermaksud bukti awam belum cukup untuk mengesahkannya.

Mengapa organisasi masih perlu mengambil berat?

Ketiadaan tampalan yang perlu dipasang pelanggan tidak bermakna pendedahan ini boleh diketepikan. Entra ID ialah perkhidmatan kawalan identiti. Kerentanan RCE yang boleh dicapai melalui rangkaian, tidak memerlukan pengesahan dan mempunyai ciri teknikal seperti yang diterbitkan akan wajar diberi perhatian serius kerana kompromi pada platform identiti boleh membawa kesan melangkaui satu aplikasi.

Walau bagaimanapun, sumber yang tersedia tidak membuktikan bahawa kesan tersebut berlaku dalam insiden ini. Oleh itu, kemungkinan kesan susulan tidak sepatutnya dilaporkan sebagai kompromi yang telah disahkan.

Pasukan keselamatan organisasi sememangnya mempunyai alasan munasabah untuk meminta Microsoft menjelaskan:

• tempoh sebenar pendedahan;
• telemetri atau petunjuk kompromi yang berkaitan;
• skop mitigasi di pihak pelayan; dan
• sebab status eksploitasi berubah.

Maklumat ini akan membantu pasukan keselamatan melengkapkan semakan insiden yang boleh dipertahankan, walaupun tiada tindakan pelanggan diperlukan.

Sebahagian daripada pendedahan keselamatan awan yang lebih besar

CVE-2026-69836 didedahkan bersama beberapa kerentanan awan dan perusahaan lain yang turut menerima skor maksimum. Keluaran yang sama merangkumi isu CVSS 10.0 dalam Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc dan Exchange Online, selain Entra ID.

Konteks yang lebih luas ini menjadikan ketepatan data nasihat keselamatan semakin penting. Apabila beberapa perkhidmatan awan menerima pembetulan berperingkat maksimum pada masa yang sama, pasukan keselamatan perlu dapat membezakan antara kerentanan yang memerlukan pemulihan oleh pelanggan, isu yang sudah ditangani penyedia, dan kelemahan yang benar-benar mempunyai bukti eksploitasi.

Kesimpulan

CVE-2026-69836 ialah kerentanan RCE Microsoft Entra ID dengan tahap kritikal maksimum, dikaitkan dengan penyahserialan data tidak dipercayai. Microsoft mengkreditkan Robert Fitzpatrick sebagai penemunya, mendedahkan isu itu pada 20 Ogos dan menyatakan bahawa ia telah dimitigasi sepenuhnya di pihak perkhidmatan.

Bagi pelanggan, arahan segera adalah mudah: Microsoft menyatakan tiada tindakan diperlukan. Bagi pasukan keselamatan dan pengurusan risiko, cabaran yang lebih besar ialah mentafsir laporan eksploitasi yang bercanggah.

Berdasarkan pembetulan pada 21 Ogos, bukti awam belum mengesahkan eksploitasi di dunia sebenar, organisasi yang terjejas atau impak sebenar. Keutamaan seterusnya ialah mendapatkan ketelusan yang mencukupi untuk mengesahkan kesimpulan itu dan menutup jurang dalam semakan insiden.