CVE-2026-69836 nedir? Microsoft Entra ID’de CVSS 10.0’lık kritik açık

CVE-2026-69836 nedir?

CVE-2026-69836, Microsoft’un bulut tabanlı kimlik ve erişim yönetimi hizmeti Microsoft Entra ID’yi etkileyen kritik bir uzaktan kod çalıştırma (RCE) açığıdır. Açığın temelinde, güvenilmeyen verilerin uygulama tarafından güvenli olmayan şekilde serileştirilmesi bulunuyor. Bu durum, CWE-502 — “Güvenilmeyen Verilerin Serileştirilmesi” — olarak sınıflandırılıyor.

Microsoft’un açıklamasına göre yetkisiz bir saldırgan, ağ üzerinden Entra ID hizmetine ulaşarak kod çalıştırabiliyordu. Açık için verilen CVSS 3.1 taban puanı 10.0; yani derecelendirme sistemindeki en yüksek seviye.

CVSS 10.0 puanı ne anlama geliyor?

CVE-2026-69836’nın önemini artıran unsurlar şunlar:

• Ağ üzerinden uzaktan istismar edilebilmesi
• Saldırı karmaşıklığının düşük olması
• Saldırganın önceden ayrıcalığa sahip olmasının gerekmemesi
• Kullanıcı etkileşimi gerektirmemesi
• Gizlilik, bütünlük ve kullanılabilirlik üzerindeki etkinin yüksek olarak değerlendirilmesi

Kısacası, teorik saldırı senaryosunda saldırganın kimlik doğrulaması yapması, özel yetkiler elde etmesi ya da bir kullanıcıyı zararlı bir işlem yapmaya ikna etmesi gerekmiyordu. Bu nedenle açık, kimlik altyapısı açısından en yüksek risk kategorisine yerleştirildi.

Açık istismar edildi mi?

Burada dikkat edilmesi gereken önemli bir durum var. İlk haberlerde Microsoft’un CVE-2026-69836’yı “gerçek saldırılarda istismar edildi” olarak işaretlediği bildirildi. Ancak Microsoft 21 Ağustos’ta güvenlik duyurusundaki istismar alanını “Evet”ten “Hayır”a çevirdi.

Bu nedenle mevcut kamuya açık bilgilere göre en temkinli sonuç şu: Açığın gerçek dünyadaki saldırılarda kullanıldığı kesin olarak doğrulanmış değil. Saldırganların kimliği, hedef alınan kuruluşlar, saldırıların zaman çizelgesi veya ortaya çıkan gerçek zarar hakkında doğrulanmış kamuya açık bir bilgi bulunmuyor. Aynı şekilde, kamuya açık ve doğrulanmış bir istismar kodu olduğuna dair kanıt da mevcut değil.