Microsoft heeft een kritische bug in Entra ID ontdekt. Gebruikers hoeven niets te doen, want het risico is intussen gemitigeerd.
Microsoft rapporteert over een bug met een maximale CVSS-score van 10 in Entra ID. CVE-2026-69836 wordt als kritiek bestempeld, en zou aanvallers toelaten om eigen code vanop afstand over het netwerk uit te voeren. In lijn met de hoge score was de bug eenvoudig uit te buiten door aanvallers.
Dat klinkt dramatisch, maar Microsoft het de zero day-bug zelf ontdekt en verholpen voordat criminelen er weet van hadden. Het lek is intussen gedicht. Gebruikers van Entra ID hoeven geen actie te ondernemen: de mitigatie heeft volledig plaatsgevonden aan de kant van Microsoft. Er is geen sprake van uitbuiting of een verder beveiligingsrisico.
Entra ID, vroeger gekend onder de naam Azure Active Directory, is het platform voor toegang en identiteitsbeheer voor zowel Microsoft 365 als de Azure-diensten van Microsoft.
Kleine impact, groot gelukt
Microsoft deelt de CVE wel, hoewel er geen maatregelen nodig zijn. Dat doet de softwarespecialist naar eigen zeggen in naam van volledige transparantie.
Een bug met deze score voor de ernst, eenvoudig en vanop afstand uit te buiten, heeft het potentieel dramatisch te zijn. Zeker wanneer de kwetsbaarheid zich voordoet bij een breed vertrouwde provider. Gelukkig ging het hier om een bug die exclusief in een dienst van Microsoft zat, en langs de kant van Microsoft gepatcht kon worden.
Andere scenario’s hebben ook al plaatsgevonden. Denk aan de Log4j-bug eind 2021. Die zat in een opensource-component dat door vele softwareleveranciers werd gebruikt, waardoor patchen niet centraal kon gebeuren. Het bleek onmogelijk om alle betrokken partijen te mobiliseren om de nodige patches uit te voeren voordat criminelen zich in de debatten begonnen te mengen.