Разработчики Microsoft исправили пять критических уязвимостей в облачных сервисах Entra ID, Azure Arc, Exchange Online и Azure Managed Instance for Apache Cassandra. Самая серьезная проблема получила идентификатор CVE-2026-69836 и максимальную оценку — 10,0 балла из 10 возможных по шкале CVSS.
Проблема CVE-2026-69836, которую обнаружил главный инженер по безопасности Microsoft Роберт Фицпатрик (Robert Fitzpatrick), затрагивала Microsoft Entra ID — облачную платформу управления идентификацией и доступом (ранее Azure Active Directory или Azure AD), которая отвечает за аутентификацию и контроль доступа в Microsoft 365, Azure, Dynamics CRM Online и так далее.
Уязвимость была связана с небезопасной десериализацией недоверенных данных и в худшем случае позволяла неавторизованному атакующему удаленно выполнить произвольный код. При этом эксплуатация бага не требовала наличия учетной записи, каких-либо привилегий или действий со стороны жертвы.
Следует отметить, что изначально в бюллетене для CVE-2026-69836 было указано, что баг уже эксплуатируется в реальных атаках, однако 21 августа 2026 года представители Microsoft изменили этот статус и заявили, что уязвимость еще не использовалась хакерами.
В Microsoft пояснили, что обнаружили и устранили проблему самостоятельно, а информацию о CVE опубликовали «для большей прозрачности». Так как Entra ID работает в облачной инфраструктуре Microsoft, клиентам не нужно устанавливать патчи и предпринимать какие-то дополнительные действия: уязвимость уже полностью устранена на стороне сервиса.
Одновременно с этим инженеры компании устранили еще четыре уязвимости. Так, два бага в Azure Arc (CVE-2026-65816 и CVE-2026-69555) позволяли неавторизованному атакующему удаленно повысить привилегии, и аналогичная проблема (CVE-2026-65801) затрагивала Exchange Online. Еще одна проблема (CVE-2026-65770) позволяла удаленно выполнить произвольный код в Azure Managed Instance for Apache Cassandra.
По данным Microsoft, в сети пока нет публичных эксплоитов для этих пяти уязвимостей.
