CVE-2026-69836: Lỗ hổng thực thi mã từ xa nghiêm trọng trong Microsoft Entra ID

Nhưng ngày 21/8/2026, Microsoft đã sửa trường khai thác trong khuyến cáo từ “Yes” (Có) thành “No” (Không). Kết luận thận trọng nhất ở thời điểm hiện tại là chưa có bằng chứng công khai đủ để xác nhận lỗ hổng đã bị khai thác ngoài thực tế.

Do đó, hiện chưa có thông tin công khai có cơ sở về:

• danh tính hoặc nhóm tấn công;
• tổ chức nạn nhân;
• thời điểm và diễn biến của một chiến dịch tấn công;
• thiệt hại thực tế;
• mã khai thác công khai đã được xác minh.

Các tuyên bố khẳng định ngược lại nên được kiểm chứng cẩn thận, đặc biệt trong bối cảnh trạng thái trên khuyến cáo của Microsoft đã bị điều chỉnh.

Khách hàng Entra ID có phải làm gì không?

Microsoft cho biết vấn đề đã được giảm thiểu ở phía dịch vụ và khách hàng Entra ID không cần thực hiện hành động nào. Vì đây là dịch vụ đám mây, việc xử lý không nhất thiết diễn ra dưới dạng bản vá mà quản trị viên phải tự cài đặt trên máy chủ.

Dù vậy, các tổ chức vẫn có lý do chính đáng để yêu cầu thêm thông tin minh bạch, chẳng hạn như:

• khoảng thời gian dịch vụ có thể đã phơi nhiễm;
• hướng dẫn kiểm tra nhật ký và chỉ báo xâm nhập (IOC);
• phạm vi các thành phần bị ảnh hưởng;
• lý do Microsoft thay đổi trạng thái khai thác.

Những thông tin này giúp doanh nghiệp tiến hành rà soát sự cố có căn cứ, ngay cả khi Microsoft không yêu cầu khách hàng cài bản cập nhật.

CVE-2026-69836 xuất hiện trong một đợt có nhiều lỗ hổng CVSS 10,0

Trong cùng giai đoạn công bố, Microsoft cũng xử lý bốn vấn đề nghiêm trọng khác đạt CVSS 10,0 trong các sản phẩm và dịch vụ đám mây, doanh nghiệp gồm Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc và Exchange Online, bên cạnh Entra ID.

Điểm đáng chú ý của CVE-2026-69836 không chỉ nằm ở con số 10,0, mà còn ở vị trí của Entra ID trong hệ sinh thái Microsoft: đây là lớp kiểm soát danh tính có thể quyết định ai được truy cập tài nguyên nào. Vì vậy, dù chưa có bằng chứng công khai xác nhận khai thác thực tế và khách hàng không phải tự vá, các tổ chức vẫn nên theo dõi cập nhật từ Microsoft và lưu lại quá trình đánh giá rủi ro của mình.