CVE-2026-69836: falla critica sfruttata in Microsoft Entra ID, ma non serve alcuna azione ai clienti

Microsoft ha corretto una vulnerabilità critica in Microsoft Entra ID, il servizio cloud per la gestione delle identità e degli accessi precedentemente noto come Azure Active Directory. La falla, identificata come CVE-2026-69836, è stata sfruttata in attacchi secondo le informazioni associate all’advisory Microsoft.

La vulnerabilità è stata resa pubblica il 20 agosto 2026. Microsoft classifica il problema con gravità massima e comunica di averlo mitigato completamente sul proprio servizio.

Per i clienti non è previsto alcun intervento: non esistono patch da installare, configurazioni manuali da modificare o workaround da applicare.

Una deserializzazione porta all’esecuzione remota di codice

CVE-2026-69836 è una vulnerabilità di tipo CWE-502, Deserialization of Untrusted Data. Il problema riguarda l’elaborazione di dati non attendibili da parte del servizio e può consentire a un attaccante non autorizzato di eseguire codice attraverso la rete.

L’attacco non richiede:

• privilegi;
• autenticazione preventiva;
• interazione dell’utente.

Il vettore è quindi remoto e la complessità è bassa. Il punteggio CVSS 3.1 è 10.0, con questo vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Il parametro S:C indica che gli effetti possono estendersi oltre il perimetro di sicurezza del componente inizialmente colpito. Gli impatti su confidenzialità, integrità e disponibilità sono classificati come alti.

In termini pratici, uno sfruttamento riuscito potrebbe compromettere completamente le risorse interessate dal servizio, anche se il brief tecnico pubblico non descrive la catena d’attacco né le condizioni operative precise osservate negli incidenti.

Microsoft conferma lo sfruttamento, ma non esiste un exploit pubblico

L’advisory MSRC indica che la vulnerabilità è stata sfruttata, mentre non risulta pubblicamente divulgata. Microsoft specifica inoltre che non è disponibile online codice di exploit.

Le due informazioni non sono contraddittorie. Un attacco può essere stato osservato o riconosciuto dal vendor senza che il relativo codice sia stato pubblicato, condiviso apertamente o integrato in strumenti accessibili agli attaccanti.

MSRC assegna alla vulnerabilità anche questi parametri temporali e di attendibilità:

• Exploit Code Maturity: E:U, cioè exploit non dimostrato pubblicamente o di natura teorica;
• Remediation Level: RL:O, perché esiste una correzione ufficiale lato servizio;
• Report Confidence: RC:C, con vulnerabilità confermata dal produttore.

La scoperta è attribuita al principal security engineer Microsoft Robert Fitzpatrick. Nella sezione dei ringraziamenti dell’advisory il cognome compare invece nella forma Robert Fitzaptrick.

Coinvolto il servizio cloud usato da Microsoft 365, Azure e Dynamics

Il prodotto interessato è Microsoft Entra ID, indicato nelle informazioni NVD con versione - e stato affected. Non sono stati pubblicati numeri di build o intervalli di versione specifici.

La circostanza è coerente con la natura cloud del prodotto. Entra ID fornisce autenticazione, applicazione delle policy e protezione per applicazioni e risorse utilizzate dai clienti di:

• Microsoft 365;
• Microsoft Azure;
• Dynamics CRM Online.

Un problema nel servizio di identità può avere conseguenze trasversali, perché Entra ID interviene nel controllo degli accessi a numerosi ambienti e applicazioni. Tuttavia, non sono stati diffusi dettagli che permettano di stabilire quali tenant, configurazioni o risorse siano stati effettivamente colpiti.

NVD non ha ancora pubblicato una propria valutazione CVSS 4.0 o CVSS 2.0: entrambi i campi risultano N/A. Il punteggio disponibile è quello CVSS 3.1 assegnato dalla CNA Microsoft.

La mitigazione è avvenuta interamente lato Microsoft

Microsoft dichiara che CVE-2026-69836 è stata completamente mitigata lato servizio. L’advisory precisa che i clienti:

• non devono installare aggiornamenti;
• non devono eseguire procedure manuali;
• non dispongono di workaround specifici;
• non devono modificare configurazioni per applicare la correzione.

Di conseguenza, gli amministratori non hanno una patch da distribuire nei client o nei server aziendali. La misura operativa principale consiste nel mantenere comunque sotto osservazione gli accessi e gli eventi di autenticazione di Entra ID, secondo le normali procedure interne.

Microsoft non ha pubblicato indicatori di compromissione, query di rilevamento, regole per i sistemi SIEM o log specifici da cercare. Non è quindi possibile ricavare dall’advisory una lista di tracce tecniche dedicate a CVE-2026-69836.

La falla si inserisce in una sequenza di vulnerabilità Microsoft critiche

Il problema arriva dopo altre quattro vulnerabilità Microsoft a gravità massima affrontate il giorno precedente:

• CVE-2026-65816 in Azure Arc, con possibile escalation remota dei privilegi;
• CVE-2026-69555 in Azure Arc, anch’essa associata a escalation remota dei privilegi;
• CVE-2026-65801 in Exchange Online, con escalation remota dei privilegi;
• CVE-2026-65770 in Azure Managed Instance for Apache Cassandra, con esecuzione remota di codice.

Tutte risultano associate a un punteggio CVSS 3.1 pari a 10.0. Per CVE-2026-65816, CVE-2026-65801 e CVE-2026-65770 il vettore coincide con quello di CVE-2026-69836. CVE-2026-69555 mantiene invece la disponibilità a livello non applicabile nel vettore pubblicato.

Esiste anche un precedente diretto in Entra ID. Nel settembre 2025, Microsoft aveva corretto CVE-2025-55241, una vulnerabilità critica di escalation dei privilegi segnalata da Dirk-jan Mollema di Outsider Security. Secondo il resoconto pubblicato allora, lo sfruttamento avrebbe potuto consentire l’accesso completo al tenant Entra di un’organizzazione.

KEV e attività di risposta

Non è riportata un’inclusione di CVE-2026-69836 nel catalogo CISA Known Exploited Vulnerabilities (KEV). Di conseguenza, non risultano una data di inserimento o una scadenza CISA per questa specifica vulnerabilità.

Il catalogo ha comunque ricevuto negli ultimi 90 giorni altre vulnerabilità associate a Microsoft:

• CVE-2026-55040, inserita il 18 agosto 2026;
• CVE-2026-33824, inserita il 18 agosto 2026;
• CVE-2026-68820, inserita l’11 agosto 2026;
• CVE-2026-50522, inserita il 22 luglio 2026;
• CVE-2026-58644, inserita il 16 luglio 2026;
• CVE-2026-45659, inserita il 1° luglio 2026, con indicazione di utilizzo in ransomware.

In un aggiornamento separato, CISA ha inoltre aggiunto al catalogo una vulnerabilità critica di esecuzione remota di codice nel componente Windows Internet Key Exchange (IKE) Service Extensions). Non sono stati forniti un identificativo CVE o una scadenza KEV per quel caso.

Per CVE-2026-69836, quindi, il punto operativo è diverso da quello di una falla installabile: Microsoft afferma di avere già applicato la mitigazione nel servizio cloud e non richiede attività ai clienti.