Що відомо про CVE-2026-69836 у Microsoft Entra ID

Коротко про CVE-2026-69836

CVE-2026-69836 — критична вразливість віддаленого виконання коду (RCE) у хмарному сервісі керування ідентичностями Microsoft Entra ID. Її спричинила небезпечна десеріалізація ненадійних даних — помилка, класифікована як CWE-502. За даними NVD, неналежно оброблені дані могли дозволити неавторизованому зловмиснику виконати код через мережу.

Оцінка за CVSS 3.1 — максимальні 10,0 бала. Вектор передбачає мережеву доступність, низьку складність атаки, відсутність необхідності в обліковому записі, привілеях або взаємодії користувача, а також потенційно високий вплив на конфіденційність, цілісність і доступність даних.

Чому це важливо

Entra ID — це хмарна платформа Microsoft для керування обліковими записами, автентифікацією та доступом. Вона використовується в екосистемах Microsoft 365, Azure і федеративних корпоративних застосунках.

Тому RCE без автентифікації в такому середовищі теоретично становила б значний ризик для інфраструктури ідентифікації та пов’язаних сервісів. Водночас сама максимальна оцінка CVSS описує технічну тяжкість сценарію, а не доводить, що всі ці наслідки фактично настали.

Чи справді вразливість уже використовували

Ранні повідомлення стверджували, що Microsoft позначила CVE-2026-69836 як таку, що експлуатується в реальних атаках. Однак 21 серпня компанія виправила поле експлуатації у своєму повідомленні: значення змінили з «Yes» на «No».

Найобережніший висновок на цей момент: доступні публічні дані не підтверджують експлуатацію CVE-2026-69836 «у дикій природі». Так само немає обґрунтованої публічної інформації про конкретних зловмисників, постраждалі організації, часові межі атак або реальний масштаб наслідків. Наявність публічного експлойта також не підтверджена доступними матеріалами. Попередні твердження про протилежне варто сприймати критично.