Hva er CVE-2026-69836?

Sårbarheten rammer Microsoft Entra ID, som tidligere het Azure Active Directory. Tjenesten brukes til autentisering og tilgangsstyring i Microsofts skyøkosystem. Ifølge sårbarhetsbeskrivelsen kunne usikker behandling av serialiserte data gjøre det mulig for en uautorisert angriper å kjøre kode over et nettverk.

Den publiserte CVSS-vektoren er:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

I praksis betyr dette at sårbarheten kunne nås eksternt, hadde lav angrepskompleksitet, ikke krevde eksisterende privilegier og ikke forutsatte at en bruker gjorde noe. «Changed scope» betyr dessuten at et vellykket angrep i prinsippet kunne få konsekvenser utenfor den umiddelbart berørte sikkerhetsmyndigheten.

En CVSS-score på 10,0 beskriver et svært alvorlig risikopotensial. Den beviser ikke i seg selv at kundemiljøer ble kompromittert.

Oppdagelse og offentliggjøring

Microsoft krediterer Principal Security Engineer Robert Fitzpatrick for oppdagelsen av sårbarheten. CVE-2026-69836 ble offentliggjort 20. august 2026.

Microsofts håndtering på tjenestesiden innebærer at organisasjoner ikke har en tradisjonell Entra ID-oppdatering å rulle ut. Tilgjengelig rapportering sier at Microsoft vurderte problemet som fullt mitigert, og at kundene ikke trengte å gjøre noe mer.

Ble sårbarheten utnyttet i praksis?

Den offentlige beskrivelsen endret seg raskt:

• De første rapportene sa at Microsofts sikkerhetsvarsel markerte sårbarheten som utnyttet.
• 21. august endret Microsoft feltet for utnyttelse i varselet fra «Yes» til «No». Selskapet sa samtidig til The Hacker News at sårbarheten ikke var utnyttet «in the wild», altså i reelle angrep utenfor testmiljøer.
• Andre sårbarhetsdatabaser og tidlige nyhetsartikler fortsatte å vise den tidligere statusen, noe som skapte en motstridende offentlig historikk.

Den mest forsvarlige konklusjonen basert på det tilgjengelige materialet er at bekreftet utnyttelse i det fri ikke er dokumentert. Påstander om bekreftede angrep bør derfor vurderes med varsomhet, med mindre de forklarer hvordan de kan forenes med Microsofts senere rettelse.

Dette er fortsatt ukjent

Det finnes ingen underbygget offentlig informasjon i den tilgjengelige rapporteringen om:

• hvem de påståtte angriperne var;
• hvilke kundeorganisasjoner som eventuelt ble rammet;
• når angrepene skal ha funnet sted, eller hvor lenge tjenesten var eksponert;
• bekreftet påvirkning hos kunder; eller
• en offentliggjort exploit eller proof of concept.

Tilgjengelig rapportering sa spesifikt at exploit-kode ikke var tilgjengelig på nettet. Det utelukker ikke at en privat exploit kan ha eksistert. Det betyr bare at det offentlige materialet ikke dokumenterer en slik kode.

Hvorfor saken likevel er viktig

At kundene ikke må installere en patch, gjør ikke offentliggjøringen irrelevant. Entra ID er en sentral identitets- og tilgangstjeneste. En sårbarhet med de publiserte egenskapene til CVE-2026-69836 ville derfor fortjent grundig oppfølging, fordi kodekjøring i en identitetsplattform i prinsippet kan få følger for mer enn én enkelt applikasjon.

Samtidig dokumenterer ikke kildene at slike følgeskader faktisk oppsto i dette tilfellet. Mulig videre påvirkning må derfor ikke omtales som en bekreftet kompromittering.

Organisasjoner kan med god grunn ønske at Microsoft klargjør:

• hvor lenge sårbarheten var eksponert;
• hvilken telemetri og hvilke indikatorer på kompromittering som finnes;
• hvor omfattende tiltakene på serversiden var; og
• hvorfor statusen for utnyttelse ble endret.

Slike detaljer vil gjøre det enklere for sikkerhetsteam å gjennomføre en etterprøvbar hendelsesgjennomgang, også når Microsoft sier at kundene ikke trenger å gjøre noe.

Del av en større skybasert sikkerhetsoppdatering

CVE-2026-69836 ble offentliggjort samtidig med flere andre sky- og virksomhetssårbarheter med maksimal alvorlighetsgrad. Den samme utgivelsen omfattet CVSS 10,0-problemer i Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc og Exchange Online, i tillegg til Entra ID.

Denne sammenhengen gjør presise sikkerhetsvarsler ekstra viktige. Når flere skytjenester får sårbarheter med høyeste alvorlighetsgrad samtidig, trenger sikkerhetsteam tydelige skiller mellom feil som krever kundetiltak, problemer leverandøren allerede har håndtert, og sårbarheter der utnyttelse er bekreftet.

Kort oppsummert

CVE-2026-69836 er en Entra ID-sårbarhet for fjernkjøring av kode, knyttet til usikker deserialisering og vurdert til CVSS 10,0. Microsoft krediterer Robert Fitzpatrick for oppdagelsen, offentliggjorde saken 20. august og sier at problemet er fullt mitigert på tjenestesiden.

For kundene er beskjeden enkel: Microsoft sier at ingen tiltak er nødvendige. For sikkerhets- og risikoteam er den vanskeligere oppgaven å tolke de motstridende opplysningene om utnyttelse. Etter rettelsen 21. august dokumenterer ikke det offentlige materialet bekreftet utnyttelse i det fri, berørte organisasjoner eller reell kundepåvirkning. Det viktigste som gjenstår, er mer åpenhet slik at denne konklusjonen kan etterprøves og hendelsesgjennomgangen avsluttes på et solid grunnlag.

Hva er CVE-2026-69836?

Sårbarheten rammer Microsoft Entra ID, som tidligere het Azure Active Directory. Tjenesten brukes til autentisering og tilgangsstyring i Microsofts skyøkosystem. Ifølge sårbarhetsbeskrivelsen kunne usikker behandling av serialiserte data gjøre det mulig for en uautorisert angriper å kjøre kode over et nettverk.

Den publiserte CVSS-vektoren er:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

I praksis betyr dette at sårbarheten kunne nås eksternt, hadde lav angrepskompleksitet, ikke krevde eksisterende privilegier og ikke forutsatte at en bruker gjorde noe. «Changed scope» betyr dessuten at et vellykket angrep i prinsippet kunne få konsekvenser utenfor den umiddelbart berørte sikkerhetsmyndigheten.

En CVSS-score på 10,0 beskriver et svært alvorlig risikopotensial. Den beviser ikke i seg selv at kundemiljøer ble kompromittert.

Oppdagelse og offentliggjøring

Microsoft krediterer Principal Security Engineer Robert Fitzpatrick for oppdagelsen av sårbarheten. CVE-2026-69836 ble offentliggjort 20. august 2026.

Microsofts håndtering på tjenestesiden innebærer at organisasjoner ikke har en tradisjonell Entra ID-oppdatering å rulle ut. Tilgjengelig rapportering sier at Microsoft vurderte problemet som fullt mitigert, og at kundene ikke trengte å gjøre noe mer.

Ble sårbarheten utnyttet i praksis?

Den offentlige beskrivelsen endret seg raskt:

• De første rapportene sa at Microsofts sikkerhetsvarsel markerte sårbarheten som utnyttet.
• 21. august endret Microsoft feltet for utnyttelse i varselet fra «Yes» til «No». Selskapet sa samtidig til The Hacker News at sårbarheten ikke var utnyttet «in the wild», altså i reelle angrep utenfor testmiljøer.
• Andre sårbarhetsdatabaser og tidlige nyhetsartikler fortsatte å vise den tidligere statusen, noe som skapte en motstridende offentlig historikk.

Den mest forsvarlige konklusjonen basert på det tilgjengelige materialet er at bekreftet utnyttelse i det fri ikke er dokumentert. Påstander om bekreftede angrep bør derfor vurderes med varsomhet, med mindre de forklarer hvordan de kan forenes med Microsofts senere rettelse.

Dette er fortsatt ukjent

Det finnes ingen underbygget offentlig informasjon i den tilgjengelige rapporteringen om:

• hvem de påståtte angriperne var;
• hvilke kundeorganisasjoner som eventuelt ble rammet;
• når angrepene skal ha funnet sted, eller hvor lenge tjenesten var eksponert;
• bekreftet påvirkning hos kunder; eller
• en offentliggjort exploit eller proof of concept.

Tilgjengelig rapportering sa spesifikt at exploit-kode ikke var tilgjengelig på nettet. Det utelukker ikke at en privat exploit kan ha eksistert. Det betyr bare at det offentlige materialet ikke dokumenterer en slik kode.

Hvorfor saken likevel er viktig

At kundene ikke må installere en patch, gjør ikke offentliggjøringen irrelevant. Entra ID er en sentral identitets- og tilgangstjeneste. En sårbarhet med de publiserte egenskapene til CVE-2026-69836 ville derfor fortjent grundig oppfølging, fordi kodekjøring i en identitetsplattform i prinsippet kan få følger for mer enn én enkelt applikasjon.

Samtidig dokumenterer ikke kildene at slike følgeskader faktisk oppsto i dette tilfellet. Mulig videre påvirkning må derfor ikke omtales som en bekreftet kompromittering.

Organisasjoner kan med god grunn ønske at Microsoft klargjør:

• hvor lenge sårbarheten var eksponert;
• hvilken telemetri og hvilke indikatorer på kompromittering som finnes;
• hvor omfattende tiltakene på serversiden var; og
• hvorfor statusen for utnyttelse ble endret.

Slike detaljer vil gjøre det enklere for sikkerhetsteam å gjennomføre en etterprøvbar hendelsesgjennomgang, også når Microsoft sier at kundene ikke trenger å gjøre noe.

Del av en større skybasert sikkerhetsoppdatering

CVE-2026-69836 ble offentliggjort samtidig med flere andre sky- og virksomhetssårbarheter med maksimal alvorlighetsgrad. Den samme utgivelsen omfattet CVSS 10,0-problemer i Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc og Exchange Online, i tillegg til Entra ID.

Denne sammenhengen gjør presise sikkerhetsvarsler ekstra viktige. Når flere skytjenester får sårbarheter med høyeste alvorlighetsgrad samtidig, trenger sikkerhetsteam tydelige skiller mellom feil som krever kundetiltak, problemer leverandøren allerede har håndtert, og sårbarheter der utnyttelse er bekreftet.

Kort oppsummert

CVE-2026-69836 er en Entra ID-sårbarhet for fjernkjøring av kode, knyttet til usikker deserialisering og vurdert til CVSS 10,0. Microsoft krediterer Robert Fitzpatrick for oppdagelsen, offentliggjorde saken 20. august og sier at problemet er fullt mitigert på tjenestesiden.

For kundene er beskjeden enkel: Microsoft sier at ingen tiltak er nødvendige. For sikkerhets- og risikoteam er den vanskeligere oppgaven å tolke de motstridende opplysningene om utnyttelse. Etter rettelsen 21. august dokumenterer ikke det offentlige materialet bekreftet utnyttelse i det fri, berørte organisasjoner eller reell kundepåvirkning. Det viktigste som gjenstår, er mer åpenhet slik at denne konklusjonen kan etterprøves og hendelsesgjennomgangen avsluttes på et solid grunnlag.