Score 10 su 10! Microsoft corregge un bug su Entra ID che consente la compromissione totale

Microsoft ha corretto cinque vulnerabilità critiche nei servizi cloud Entra ID, Azure Arc, Exchange Online e Azure Managed Instance for Apache Cassandra. La più grave, CVE-2026-69836, scoperta da Robert Fitzpatrick, ha punteggio massimo CVSS 10.0. La vulnerabilità, non ancora sfruttata, permetteva l'esecuzione di codice arbitrario da remoto senza necessità di account o privilegi particolari.

Microsoft hanno corretto cinque vulnerabilità critiche nei servizi cloud Entra ID, Azure Arc, Exchange Online e Azure Managed Instance for Apache Cassandra. La problematica più grave ha ricevuto l’identificatore CVE-2026-69836 e la valutazione massima — 10,0 punti su 10 possibili secondo la scala CVSS.

La problematica CVE-2026-69836, scoperta dal principale ingegnere della sicurezza di Microsoft Robert Fitzpatrick (Robert Fitzpatrick), riguardava Microsoft Entra ID — la piattaforma cloud di gestione dell’identificazione e dell’accesso (precedentemente Azure Active Directory o Azure AD), che è responsabile dell’autenticazione e del controllo dell’accesso in Microsoft 365, Azure, Dynamics CRM Online e così via.

La vulnerabilità di deserializzazione non sicura, nel peggiore dei casi, permetteva a un attaccante non autorizzato di eseguire codice arbitrario da remoto. Inoltre, lo sfruttamento del bug non richiedeva la presenza di un account, privilegi particolari o azioni da parte della vittima.

Va notato che inizialmente nel bollettino per il CVE-2026-69836 era indicato che il bug era già sfruttato in attacchi reali, tuttavia il 21 agosto 2026 i rappresentanti di Microsoft hanno cambiato questo stato e hanno dichiarato che la vulnerabilità non era ancora stata utilizzata dagli hacker.

In Microsoft hanno spiegato che hanno scoperto e risolto il problema autonomamente, e hanno pubblicato le informazioni. Poiché Entra ID funziona nell’infrastruttura cloud di Microsoft, i clienti non devono installare patch o intraprendere ulteriori azioni: la vulnerabilità è già completamente risolta dal lato del servizio.

Contemporaneamente, gli ingegneri dell’azienda hanno risolto altre quattro vulnerabilità. Così, due bug in Azure Arc (CVE-2026-65816 e CVE-2026-69555) permettevano a un attaccante non autorizzato di aumentare i privilegi da remoto, e un problema simile (CVE-2026-65801) riguardava Exchange Online. Un’altra problematica (CVE-2026-65770) permetteva di eseguire codice arbitrario da remoto in Azure Managed Instance for Apache Cassandra.

Secondo i dati di Microsoft, al momento non ci sono exploit pubblici per queste cinque vulnerabilità.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response