CVE-2026-69836: co wiadomo o krytycznej luce w Microsoft Entra ID

Czym jest CVE-2026-69836?

CVE-2026-69836 to krytyczna luka bezpieczeństwa w Microsoft Entra ID — chmurowej usłudze Microsoftu do zarządzania tożsamością, uwierzytelnianiem i dostępem. Błąd sklasyfikowano jako CWE-502, czyli deserializację niezaufanych danych. W uproszczeniu: usługa przetwarzała dane w sposób, który mógł pozwolić napastnikowi przemycić złośliwe informacje i doprowadzić do wykonania własnego kodu.

Opis podatności w bazie NIST wskazuje, że nieuwierzytelniony napastnik mógł wykonać kod przez sieć. Oznacza to, że do ataku nie były wymagane konto, wcześniejsze uprawnienia ani działanie użytkownika.

Dlaczego ocena CVSS wynosi 10,0?

CVE-2026-69836 otrzymała maksymalną ocenę w systemie CVSS 3.1. Jej charakterystykę opisują następujące cechy:

• atak możliwy przez sieć;
• niska złożoność ataku;
• brak wymaganych uprawnień;
• brak konieczności interakcji użytkownika;
• wysoki wpływ na poufność, integralność i dostępność danych oraz usług.

W praktyce taki zestaw parametrów oznacza szczególnie poważne ryzyko. Entra ID pełni funkcję centralnego systemu kontroli tożsamości dla usług Microsoftu, w tym Microsoft 365, Azure oraz aplikacji korzystających z federacyjnego logowania. Zdalne wykonanie kodu w takim środowisku mogłoby — w zależności od zakresu uzyskanego dostępu — zagrozić infrastrukturze uwierzytelniania i usługom zależnym od tożsamości.

Czy luka była wykorzystywana w atakach?

W pierwszych doniesieniach, opublikowanych po ujawnieniu podatności 20 sierpnia 2026 r., pojawiała się informacja, że Microsoft oznaczył ją jako wykorzystywaną w rzeczywistych atakach. Odkrycie CVE-2026-69836 przypisano Robertowi Fitzpatrickowi, głównemu inżynierowi ds. bezpieczeństwa w Microsoft.

21 sierpnia Microsoft skorygował jednak pole dotyczące wykorzystania luki: wartość „Yes” zmieniono na „No”. Najostrożniejszy wniosek na podstawie dostępnych informacji jest więc taki, że .