Vad är CVE-2026-69836?

Microsoft Entra ID är Microsofts molnbaserade tjänst för identitet och åtkomst. Den hette tidigare Azure Active Directory och används för autentisering och åtkomstkontroll i bland annat Microsofts molntjänster och anslutna applikationer.

Enligt sårbarhetsbeskrivningen kunde osäker hantering av serialiserad data göra det möjligt för en obehörig angripare att köra kod över ett nätverk.

Den publicerade CVSS-vektorn är:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

I praktiken betyder det att angreppet kan genomföras på distans, med låg komplexitet, utan ett befintligt konto och utan att någon användare behöver medverka. Markeringen ”ändrad omfattning” (Changed Scope) innebär dessutom att en lyckad kompromettering kan påverka resurser utanför den säkerhetsmyndighet som är direkt sårbar.

CVSS-värdet visar alltså på en mycket allvarlig potentiell risk. Det bevisar däremot inte i sig att kundmiljöer har komprometterats.

Upptäckt och offentliggörande

Microsoft har uppgett att Principal Security Engineer Robert Fitzpatrick upptäckte sårbarheten. CVE-2026-69836 offentliggjordes den 20 augusti 2026.

Eftersom åtgärden genomfördes på tjänstesidan finns ingen vanlig Entra ID-uppdatering som organisationer behöver distribuera. Tillgängliga uppgifter säger att Microsoft bedömde problemet som fullt åtgärdat och meddelade kunderna att inga ytterligare åtgärder krävdes.

Exploaterades sårbarheten i verkliga angrepp?

Den offentliga rapporteringen ändrades snabbt:

• De första rapporterna uppgav att Microsofts säkerhetsmeddelande markerade sårbarheten som exploaterad.
• Den 21 augusti ändrade Microsoft fältet för exploatering i meddelandet från ”Ja” till ”Nej”. Företaget sade då till The Hacker News att sårbarheten inte hade exploaterats i verkliga angrepp.
• Andra sårbarhetsdatabaser och tidiga rapporter fortsatte att visa den tidigare statusen, vilket skapade en motstridig offentlig bild.

Den mest försiktiga slutsatsen utifrån det tillgängliga underlaget är att bekräftad exploatering i det fria inte har fastställts. Påståenden om bekräftade angrepp bör därför hanteras med försiktighet om de inte redovisar bevis som förklarar skillnaden mellan den första rådgivningsuppgiften och Microsofts senare rättelse.

Det som fortfarande är okänt

Det finns ingen styrkt offentlig information i den tillgängliga rapporteringen som identifierar:

• de påstådda angriparna;
• berörda kundorganisationer;
• en tidslinje för exploatering eller ett exponeringsfönster;
• bekräftad påverkan på kunder; eller
• en offentligt släppt exploit eller proof of concept.

Tillgänglig rapportering uppgav specifikt att exploitkod inte fanns på nätet. Det bevisar inte att någon privat exploit aldrig har funnits – bara att det offentliga materialet inte styrker en sådan.

Varför frågan ändå är viktig för organisationer

Att ingen kundpatch krävs gör inte offentliggörandet oviktigt. Entra ID är en central identitets- och åtkomsttjänst. Ett fel med de publicerade egenskaperna hos CVE-2026-69836 skulle därför behöva granskas mycket allvarligt, eftersom kodkörning i en identitetsplattform i princip kan få följder långt utanför en enskild applikation.

De tillgängliga källorna visar inte att sådana följder faktiskt inträffade i det här fallet. Potentiella konsekvenser bör därför inte beskrivas som en bekräftad kompromettering.

Organisationer kan ändå med goda skäl vilja att Microsoft klargör:

• hur länge tjänsten var exponerad;
• vilken telemetri och vilka indikatorer på intrång som finns;
• hur omfattande åtgärden på serversidan var; och
• varför exploateringsstatusen ändrades.

Sådan information skulle hjälpa säkerhetsteam att genomföra en väl underbyggd incidentgranskning även när Microsoft säger att ingen kundåtgärd behövs.

En del av ett större molnsäkerhetspaket

CVE-2026-69836 offentliggjordes samtidigt som andra moln- och företagsrelaterade sårbarheter med den högsta allvarlighetsgraden. Samma lansering omfattade CVSS 10,0-problem i Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc och Exchange Online, utöver Entra ID.

Det bredare sammanhanget gör korrekta säkerhetsmeddelanden extra viktiga. När flera molntjänster får maximala allvarlighetsvärden behöver säkerhetsteam tydligt kunna skilja mellan sårbarheter som kräver kundåtgärder, problem som redan har åtgärdats av leverantören och fel där exploatering faktiskt har bekräftats.

Slutsats

CVE-2026-69836 är en RCE-sårbarhet med maximal allvarlighetsgrad i Entra ID och kopplas till osäker deserialisering. Microsoft tillskriver Robert Fitzpatrick upptäckten, offentliggjorde felet den 20 augusti och säger att det helt har åtgärdats på tjänstesidan.

För kunderna är den omedelbara vägledningen enkel: Microsoft säger att ingen åtgärd krävs. För säkerhets- och riskteam är den svårare frågan hur de motstridiga uppgifterna om exploatering ska tolkas.

Efter rättelsen den 21 augusti finns det inga offentliga belägg i det tillgängliga materialet för bekräftad exploatering i verkliga angrepp, drabbade organisationer eller faktisk påverkan. Den viktigaste återstående uppgiften är därför att få tillräcklig insyn för att kunna verifiera den slutsatsen och slutföra incidentgranskningen.

Vad är CVE-2026-69836?

Microsoft Entra ID är Microsofts molnbaserade tjänst för identitet och åtkomst. Den hette tidigare Azure Active Directory och används för autentisering och åtkomstkontroll i bland annat Microsofts molntjänster och anslutna applikationer.

Enligt sårbarhetsbeskrivningen kunde osäker hantering av serialiserad data göra det möjligt för en obehörig angripare att köra kod över ett nätverk.

Den publicerade CVSS-vektorn är:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

I praktiken betyder det att angreppet kan genomföras på distans, med låg komplexitet, utan ett befintligt konto och utan att någon användare behöver medverka. Markeringen ”ändrad omfattning” (Changed Scope) innebär dessutom att en lyckad kompromettering kan påverka resurser utanför den säkerhetsmyndighet som är direkt sårbar.

CVSS-värdet visar alltså på en mycket allvarlig potentiell risk. Det bevisar däremot inte i sig att kundmiljöer har komprometterats.

Upptäckt och offentliggörande

Microsoft har uppgett att Principal Security Engineer Robert Fitzpatrick upptäckte sårbarheten. CVE-2026-69836 offentliggjordes den 20 augusti 2026.

Eftersom åtgärden genomfördes på tjänstesidan finns ingen vanlig Entra ID-uppdatering som organisationer behöver distribuera. Tillgängliga uppgifter säger att Microsoft bedömde problemet som fullt åtgärdat och meddelade kunderna att inga ytterligare åtgärder krävdes.

Exploaterades sårbarheten i verkliga angrepp?

Den offentliga rapporteringen ändrades snabbt:

• De första rapporterna uppgav att Microsofts säkerhetsmeddelande markerade sårbarheten som exploaterad.
• Den 21 augusti ändrade Microsoft fältet för exploatering i meddelandet från ”Ja” till ”Nej”. Företaget sade då till The Hacker News att sårbarheten inte hade exploaterats i verkliga angrepp.
• Andra sårbarhetsdatabaser och tidiga rapporter fortsatte att visa den tidigare statusen, vilket skapade en motstridig offentlig bild.

Den mest försiktiga slutsatsen utifrån det tillgängliga underlaget är att bekräftad exploatering i det fria inte har fastställts. Påståenden om bekräftade angrepp bör därför hanteras med försiktighet om de inte redovisar bevis som förklarar skillnaden mellan den första rådgivningsuppgiften och Microsofts senare rättelse.

Det som fortfarande är okänt

Det finns ingen styrkt offentlig information i den tillgängliga rapporteringen som identifierar:

• de påstådda angriparna;
• berörda kundorganisationer;
• en tidslinje för exploatering eller ett exponeringsfönster;
• bekräftad påverkan på kunder; eller
• en offentligt släppt exploit eller proof of concept.

Tillgänglig rapportering uppgav specifikt att exploitkod inte fanns på nätet. Det bevisar inte att någon privat exploit aldrig har funnits – bara att det offentliga materialet inte styrker en sådan.

Varför frågan ändå är viktig för organisationer

Att ingen kundpatch krävs gör inte offentliggörandet oviktigt. Entra ID är en central identitets- och åtkomsttjänst. Ett fel med de publicerade egenskaperna hos CVE-2026-69836 skulle därför behöva granskas mycket allvarligt, eftersom kodkörning i en identitetsplattform i princip kan få följder långt utanför en enskild applikation.

De tillgängliga källorna visar inte att sådana följder faktiskt inträffade i det här fallet. Potentiella konsekvenser bör därför inte beskrivas som en bekräftad kompromettering.

Organisationer kan ändå med goda skäl vilja att Microsoft klargör:

• hur länge tjänsten var exponerad;
• vilken telemetri och vilka indikatorer på intrång som finns;
• hur omfattande åtgärden på serversidan var; och
• varför exploateringsstatusen ändrades.

Sådan information skulle hjälpa säkerhetsteam att genomföra en väl underbyggd incidentgranskning även när Microsoft säger att ingen kundåtgärd behövs.

En del av ett större molnsäkerhetspaket

CVE-2026-69836 offentliggjordes samtidigt som andra moln- och företagsrelaterade sårbarheter med den högsta allvarlighetsgraden. Samma lansering omfattade CVSS 10,0-problem i Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc och Exchange Online, utöver Entra ID.

Det bredare sammanhanget gör korrekta säkerhetsmeddelanden extra viktiga. När flera molntjänster får maximala allvarlighetsvärden behöver säkerhetsteam tydligt kunna skilja mellan sårbarheter som kräver kundåtgärder, problem som redan har åtgärdats av leverantören och fel där exploatering faktiskt har bekräftats.

Slutsats

CVE-2026-69836 är en RCE-sårbarhet med maximal allvarlighetsgrad i Entra ID och kopplas till osäker deserialisering. Microsoft tillskriver Robert Fitzpatrick upptäckten, offentliggjorde felet den 20 augusti och säger att det helt har åtgärdats på tjänstesidan.

För kunderna är den omedelbara vägledningen enkel: Microsoft säger att ingen åtgärd krävs. För säkerhets- och riskteam är den svårare frågan hur de motstridiga uppgifterna om exploatering ska tolkas.

Efter rättelsen den 21 augusti finns det inga offentliga belägg i det tillgängliga materialet för bekräftad exploatering i verkliga angrepp, drabbade organisationer eller faktisk påverkan. Den viktigaste återstående uppgiften är därför att få tillräcklig insyn för att kunna verifiera den slutsatsen och slutföra incidentgranskningen.