Что известно об уязвимости CVE-2026-69836 в Microsoft Entra ID

Коротко

CVE-2026-69836 — критическая уязвимость удалённого выполнения кода (RCE) в Microsoft Entra ID, облачной платформе Microsoft для управления удостоверениями, входом и доступом. Причиной стала небезопасная десериализация непроверенных данных — ошибка, классифицированная как CWE-502. По описанию NVD, удалённый неавторизованный атакующий мог выполнить код в службе через сеть.

Уязвимость получила максимальную оценку CVSS 3.1 — 10,0. Вектор указывает на сетевую эксплуатацию с низкой сложностью, без предварительных привилегий и без необходимости взаимодействия с пользователем. Потенциальное влияние на конфиденциальность, целостность и доступность оценивается как высокое.

Что означает небезопасная десериализация

Сериализация превращает структурированные данные в формат, удобный для передачи или хранения. Десериализация выполняет обратную операцию. Проблема возникает, когда приложение принимает данные от ненадёжного источника и восстанавливает из них объекты без достаточной проверки.

В подобных случаях специально сформированные данные могут заставить сервер выполнить нежелательные действия вместо обычной обработки запроса. Именно поэтому уязвимости CWE-502 особенно опасны в интернет-доступных сервисах: атакующему не обязательно сначала получить учётную запись или убедить сотрудника открыть вредоносный файл.

Эксплуатировалась ли CVE-2026-69836 в реальных атаках

Первые публикации утверждали, что Microsoft обозначила уязвимость как эксплуатируемую в реальных атаках. Однако 21 августа Microsoft исправила поле эксплуатации в бюллетене: значение «Да» было заменено на «Нет».

На основании доступных публичных данных наиболее осторожный вывод таков: подтверждённых доказательств эксплуатации CVE-2026-69836 в реальных атаках нет. Публично не установлены:

• личности или группы атакующих;
• организации-жертвы;
• сроки предполагаемых атак;
• фактический ущерб;
• наличие общедоступного рабочего эксплойта.

Поэтому заявления о подтверждённой эксплуатации следует оценивать с осторожностью, особенно с учётом изменения статуса в официальной информации Microsoft.

Нужно ли клиентам Microsoft устанавливать обновление

Microsoft заявила, что устранила проблему на стороне сервиса, и клиентам Entra ID не требуется предпринимать каких-либо действий. Это важно отличать от уязвимостей локального программного обеспечения: Entra ID предоставляется как облачная служба, поэтому исправление реализуется инфраструктурой Microsoft, а не установкой патча администраторами организации.

При этом компаниям, отвечающим за безопасность, разумно запросить у поставщика дополнительные сведения — например, о периоде потенциальной уязвимости, доступной телеметрии, индикаторах компрометации и причине изменения статуса эксплуатации. Такая информация помогла бы провести документированную проверку инцидентов даже в ситуации, когда клиентское обновление не требуется.

Почему риск всё равно считается высоким

Entra ID — важный элемент инфраструктуры удостоверений Microsoft. Через него организации могут управлять доступом к Microsoft 365, Azure и федеративным корпоративным приложениям. Поэтому уязвимость, которая теоретически позволяет неаутентифицированному удалённому атакующему выполнять код в службе идентификации, имеет особенно серьёзный потенциальный радиус воздействия.

Это не означает, что подтверждённый компрометационный сценарий действительно произошёл: публичных доказательств такого сценария сейчас нет. Но сочетание удалённого доступа, отсутствия требований к привилегиям и максимальной оценки CVSS объясняет, почему CVE-2026-69836 получила статус Critical.

Контекст августовского выпуска Microsoft

В тот же период Microsoft сообщила ещё о четырёх проблемах с оценкой CVSS 10,0 в облачных и корпоративных продуктах: Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc и Exchange Online. На этом фоне уязвимость Entra ID особенно заметна: она затрагивает не отдельное пользовательское приложение, а облачный контур управления доступом.

Итог: CVE-2026-69836 — максимально опасная по формальным критериям уязвимость Entra ID, которую Microsoft устранила на стороне сервиса. Однако после исправления официального статуса эксплуатации корректнее говорить не о подтверждённой атаке, а об отсутствии достаточных публичных доказательств эксплуатации.