// COMPUTERBASE — CYBERSECURITY
Doch nicht ausgenutzt: Microsoft korrigiert Entra-ID-Warnung
Eine am Donnerstag veröffentlichte Entra-ID-Schwachstelle klang zunächst nach dem größtmöglichen Alarm: CVSS 10,0 und bereits aktiv ausgenutzt. Einen Tag später korrigiert Microsoft den entscheidenden Eintrag. Angriffe auf CVE-2026-69836 hat es nach Angaben des Unternehmens doch nicht gegeben.
Microsoft hatte die Sicherheitslücke CVE-2026-69836 am Donnerstag in seinem Security Update Guide veröffentlicht. In der Tabelle zur Einschätzung der Ausnutzbarkeit war zunächst vermerkt, dass Angriffe bereits erkannt worden seien. Mehrere Sicherheitsmedien griffen die vermeintliche Zero-Day-Lücke daraufhin auf.
Nach einer Anfrage von The Hacker News änderte Microsoft die Angabe am Freitag jedoch von „Yes“ auf „No“. dem Medium erklärte das Unternehmen zudem ausdrücklich, dass die Schwachstelle nicht in freier Wildbahn ausgenutzt worden sei. Hinweise auf konkrete Angriffe, betroffene Kunden oder eine Kampagne gibt es demnach nicht.
Die Korrektur betrifft allerdings nur die tatsächliche Ausnutzung. An der technischen Bewertung der Sicherheitslücke ändert sich nichts: Microsoft stuft CVE-2026-69836 weiterhin mit dem maximal möglichen CVSS-Wert von 10,0 als kritisch ein.
Ursache ist laut Microsofts Sicherheitshinweis eine unsichere Deserialisierung nicht vertrauenswürdiger Daten. Bei einer Deserialisierung werden zuvor für die Speicherung oder Übertragung aufbereitete Daten wieder in Objekte umgewandelt, die ein Programm weiterverarbeiten kann. Prüft die Software dabei Herkunft und Inhalt nicht ausreichend, können manipulierte Daten unerwünschte Funktionen auslösen.
Im konkreten Fall hätte ein nicht authentifizierter Angreifer über das Netzwerk eigenen Code ausführen können. Ein Benutzerkonto oder eine vorherige Anmeldung waren ebenso wenig erforderlich wie eine Interaktion des Opfers. Microsoft bewertet sowohl die Angriffskomplexität als auch die erforderlichen Voraussetzungen als niedrig. Ein erfolgreicher Angriff hätte Vertraulichkeit, Integrität und Verfügbarkeit stark beeinträchtigen können.
Weitere technische Einzelheiten zum verwundbaren Bestandteil von Entra ID oder zum möglichen Angriffsweg veröffentlicht Microsoft bislang nicht. Öffentlicher Exploit-Code ist dem Unternehmen zufolge ebenfalls nicht bekannt. Entdeckt und gemeldet wurde die Schwachstelle intern durch Microsofts Sicherheitsingenieur Robert Fitzpatrick.
Administratoren müssen trotz der Höchstwertung keine Aktualisierung einspielen. Entra ID wird als Cloud-Dienst vollständig von Microsoft betrieben, weshalb das Unternehmen die verwundbaren Systeme selbst absichern konnte. Die Schwachstelle sei bereits vollständig behoben, der CVE-Eintrag diene lediglich der Transparenz.
Entra ID hieß bis 2023 Azure Active Directory und bildet die zentrale Identitäts- und Zugriffsverwaltung für Microsofts Cloud-Angebote. Der Dienst authentifiziert unter anderem Benutzer von Microsoft 365, Azure und Dynamics 365 und entscheidet anhand hinterlegter Richtlinien über den Zugriff auf Anwendungen und Ressourcen.
Dass Microsoft bei einer derart zentralen Plattform zunächst fälschlich eine aktive Ausnutzung meldete, sorgte berechtigterweise für Aufmerksamkeit. Immerhin verwandelte ein einzelner Eintrag eine zwar theoretisch äußerst gefährliche, aber bereits geschlossene Schwachstelle vorübergehend in eine vermeintlich aktiv ausgenutzte Zero-Day-Lücke.