Microsoft Entra ID: CVE-2026-69836 foi corrigida

A Microsoft corrigiu internamente a CVE-2026-69836 no Microsoft Entra ID, uma falha crítica de execução remota de código associada à deserialização de dados não confiáveis. Segundo análises técnicas citadas por NVD e outras fontes, um atacante não autenticado poderia executar código pela rede. A empresa informou que a correção foi feita do lado do servidor, publicou o CVE por transparência e afirmou que não há ações adicionais necessárias para os clientes.

¿Qué tipo de falla es CVE-2026-69836?

Trata-se de uma fraqueza CWE-502, ou seja, deserialização de dados não confiáveis, dentro do Microsoft Entra ID. A NVD descreve o caso como uma falha de execução remota de código, enquanto a Rapid7 atribuiu CVSS 3.1 de 10.0, nível crítico, com vetor de ataque via rede, baixa complexidade, sem privilégios prévios e sem interação do usuário.

Os dados técnicos disponíveis apontam para um problema de severidade máxima. OpenCVE e Tenable tratam a falha como uma RCE crítica explorável por um atacante não autenticado por meio de dados serializados enviados pela rede. A CIRCL também detalha o vetor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, indicando impacto potencial sobre confidencialidade, integridade e disponibilidade em um serviço centralizado de identidade.

¿Qué dijo Microsoft y qué pasó con el estado de explotación?

A Microsoft, segundo um porta-voz citado pelo The Hacker News, identificou e corrigiu a vulnerabilidade internamente no Entra ID, publicou o CVE por transparência e afirmou que não há medidas extras para os clientes. A SecurityWeek informou na mesma linha que o patch foi aplicado no servidor e que os usuários do serviço não precisavam fazer nada.

O The Hacker News também relatou que o boletim de segurança da Microsoft mostrou inicialmente o campo "Exploited" como "Yes" e depois o corrigiu para "No", registrando que a falha não havia sido explorada na wild. A Yahoo Tech interpretou essa mudança como um exemplo das dificuldades de divulgação em infraestruturas críticas de identidade.

¿Qué alcance técnico y operativo se atribuye al fallo?

A OpenCVE informa que não foram divulgadas versões exatas afetadas do Microsoft Entra ID, mas alerta que qualquer implantação sem atualização recente deve ser tratada como potencialmente vulnerável até haver nova evidência. O dbcve.org diz que a raiz técnica está na reconstrução de objetos a partir de dados serializados controlados por um atacante e recomenda, como remediação duradoura, evitar a desserialização de entrada não confiável ou limitá-la de forma rígida por tipos e integridade.

Apesar da gravidade, o aviso técnico da Strix.ai acrescentou uma métrica EPSS de 1,37% de probabilidade de exploração nos próximos 30 dias, o que sugere risco prático inicial moderado diante de uma classificação CVSS máxima. A Penligent, por sua vez, afirmou que segue sendo uma RCE não autenticada de severidade máxima em um serviço de identidade crítico, embora sem exploração verificada no mundo real no momento da publicação.

A Feedly disse que não havia proof-of-concept público disponível quando publicou sua ficha, embora tenha registrado relatos de várias fontes sobre possível exploração. A Vulnerability-Lookup também registrou menções iniciais de exploração, mas essa leitura foi relativizada pela Microsoft e pelo The Hacker News ao corrigirem o estado para desconhecido. A CybersecurityNews ampliou o possível impacto funcional ao observar que o backend do Entra ID é usado para autenticar usuários no Microsoft 365, Azure e em muitas aplicações de terceiros, embora o material revisado não tenha apontado um recorte específico para a América Latina.