Критическая уязвимость в Azure Active Directory: ошибка аутентификации открывает путь к полному захвату учётных записей

В середине июня 2026 года специалисты по информационной безопасности зафиксировали серьёзную брешь в облачной платформе управления идентификацией от Microsoft. Речь идёт об уязвимости в Azure Active Directory (AAD) - сервисе каталогов, который используют миллионы организаций по всему миру для аутентификации сотрудников, партнёров и клиентов. По данным Банка данных угроз безопасности информации (BDU), проблема получила идентификатор BDU:2026-08927 и уже имеет официальный номер CVE-2026-45480 в международном реестре Common Vulnerabilities and Exposures. Уровень опасности признан критическим: базовая оценка по шкале CVSS составляет максимальные 10 баллов.

Детали уязвимости

Суть уязвимости кроется в категории CWE-287, то есть в неправильной реализации процедуры аутентификации. Простыми словами, механизм проверки подлинности пользователя в Azure AD содержит логическую ошибку. Из-за неё злоумышленник, действующий удалённо, может обойти штатные проверки и получить привилегии, которые ему не положены. Причём для атаки не требуется ни предварительной аутентификации, ни специальных прав, ни сложных манипуляций со стороны жертвы - достаточно отправить специально сформированный запрос к серверу. Базовый вектор CVSS 3.1 выглядит так: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Расшифруем: вектор сетевой (AV:N), сложность атаки низкая (AC:L), привилегии не нужны (PR:N), участие пользователя не требуется (UI:N), влияние на другие системы - да (S:C), последствия для конфиденциальности, целостности и доступности - высокие (C:H/I:H/A:H). Это означает, что успешная эксплуатация позволяет нарушителю полностью скомпрометировать все учётные записи, хранящиеся в Azure AD, и получить неограниченный доступ к любым ресурсам, которые защищены этой системой.

На практике это может выглядеть так. Допустим, атакующий находит сервер Azure AD, к которому можно обратиться напрямую. Он отправляет специальный пакет данных, имитирующий запрос на аутентификацию, но содержащий модифицированные поля. Из-за дефекта в коде сервер ошибочно признаёт этот запрос валидным и возвращает токен доступа с правами администратора. Всё, дальнейшее - дело техники: злоумышленник может читать, изменять и удалять любые данные, создавать новых пользователей, подключать внешние сервисы, отключать защиту. По сути, он получает ключи от всей инфраструктуры организации, использующей Azure AD.

Важно подчеркнуть, что уязвимость затрагивает именно архитектуру сервиса, а не отдельные конфигурации или версии. Тип ошибки указан как "уязвимость архитектуры", что говорит о фундаментальной проблеме в дизайне модуля аутентификации. Производитель - корпорация Microsoft - уже подтвердил наличие уязвимости и выпустил исправление. Соответствующее обновление опубликовано на портале MSRC (Microsoft Security Response Center). Однако информация о существовании готового эксплойта пока уточняется. Учитывая критическую оценку и простоту эксплуатации, можно предположить, что исследователи или злоумышленники уже могли создать рабочий прототип.

Для организаций, использующих Azure Active Directory, ситуация требует немедленного внимания. Хотя патч уже вышел, многие компании задерживают установку обновлений, опасаясь тестирования или просто игнорируя уведомления. В данном случае промедление недопустимо: уязвимость позволяет захватить контроль над службой каталогов без какого-либо взаимодействия с пользователями. Это означает, что атака может произойти в любой момент, и жертва даже не заметит её до момента наступления последствий. Речь идёт не только об утечке данных, но и о полной компрометации цифровой идентичности всей организации. Нарушитель может, например, войти в почтовые ящики руководителей, получить доступ к бухгалтерской отчётности, изменить настройки облачных сервисов или запустить программы-вымогатели.

Стоит отметить, что это не первая критическая проблема в Azure AD за последние годы. Сервис постоянно дорабатывается, но сложность архитектуры порождает новые уязвимости. В данном случае корень проблемы - недостатки процедуры аутентификации. Ошибки такого класса особенно опасны, потому что они подрывают базовый принцип безопасности: уверенность в том, кто именно обращается к системе. Если механизм проверки подлинности не надёжен, все остальные средства защиты - разграничение доступа, шифрование, мониторинг - теряют смысл.

Что следует предпринять специалистам по информационной безопасности? В первую очередь - проверить актуальность версии Azure AD в своей среде. Установить обновление, рекомендованное Microsoft, как можно скорее. После обновления желательно провести аудит журналов аутентификации на предмет подозрительной активности - например, необычных запросов, которые могли быть попытками эксплуатации. Если организация не может сразу применить патч (например, из-за совместимости с другим ПО), стоит рассмотреть возможность временного ограничения доступа к Azure AD из внешних сетей или усиления мониторинга событий аутентификации. Также имеет смысл включить многофакторную аутентификацию (MFA), хотя в данном случае она может не защитить от эксплуатации самой уязвимости, так как атака обходит штатную проверку вообще. Однако MFA уменьшит риски в смежных сценариях.

В заключение подчеркну: эта уязвимость - напоминание о том, что даже самые зрелые облачные платформы не застрахованы от архитектурных дефектов. Организациям стоит регулярно отслеживать обновления от Microsoft и оперативно их применять, особенно когда речь идёт о критических оценках в 10 баллов. Промедление здесь может стоить не только репутации, но и всей цифровой инфраструктуры.

Детали уязвимости

Ссылки