Ошибка в механизме восстановления данных из недостоверных источников в облачной платформе управления идентификацией Microsoft Entra ID позволяет удаленному злоумышленнику выполнить произвольный код. Microsoft выпустила обновление, закрывающее уязвимость, которой присвоен максимальный уровень опасности по шкале CVSS - 10 баллов. Проблему подтвердил производитель, а в открытом доступе уже появился рабочий эксплойт.
Детали уязвимости
Microsoft Entra ID - это облачный сервис для управления учетными записями, доступа к приложениям и защиты идентификационных данных. Ранее продукт назывался Azure Active Directory. Платформа широко применяется в корпоративной среде, в том числе для организации единого входа, условного доступа и синхронизации каталогов. Многие компании используют Entra ID как центральный элемент своей инфраструктуры безопасности. Поэтому уязвимость затрагивает значительную часть корпоративного сектора.
Причина проблемы - ошибка десериализации, то есть некорректное восстановление объектов из данных, полученных из ненадежного источника. Этот класс ошибок описан в перечне CWE под номером CWE-502. Из-за такой ошибки злоумышленник может отправить в сервис специально сформированные данные, которые платформа обработает с нарушением логики. В результате атакующий получает возможность выполнить произвольный код в контексте сервиса. Впоследствии он может расширить свои полномочия внутри облачного окружения.
Согласно данным из Банка данных угроз безопасности информации (BDU), уязвимость имеет идентификатор BDU:2026-12045 и соответствует CVE-2026-69836. Базовый вектор CVSS 3.1: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Такая оценка означает, что для атаки не требуются учетные данные или привилегии, а сложность атаки минимальна. Влияние на конфиденциальность, целостность и доступность - высокое. Кроме того, уязвимость имеет показатель "измененный масштаб". Это означает, что последствия могут выходить за пределы самой платформы и затрагивать связанные с ней системы и данные клиентов.
Способ эксплуатации описан как манипулирование структурами данных. Атакующий может передать в сервис специально подготовленный объект, который при обработке вызовет выполнение вредоносного кода. Механизм напоминает другие известные атаки на десериализацию, когда ошибка возникает на этапе преобразования входных данных в объекты внутреннего представления. Подобные уязвимости нередко позволяют начать дальнейшие действия: кражу данных, боковое перемещение по сети или развертывание программ-вымогателей.
Наличие эксплойта подтверждено. Это существенно повышает практический риск для организаций, которые еще не установили исправление. Специалисты Microsoft уже выпустили обновление. Информация о нем доступна в официальном руководстве по обновлениям безопасности. Сообщения об уязвимости также опубликовали The Hacker News, Bleeping Computer и The Cyber Express. В этих публикациях отмечается, что проблема привлекла внимание исследователей и, по всей видимости, уже используется в реальных атаках.
Организациям, использующим Microsoft Entra ID, следует как можно скорее установить обновление от Microsoft. Помимо этого, администраторам рекомендуется провести ревизию журналов безопасности на предмет подозрительной активности, связанной с обработкой нестандартных данных. Временных мер, полностью закрывающих уязвимость, не существует, поэтому установка патча остается основным способом защиты.
Эта уязвимость в очередной раз обращает внимание на риски, связанные с механизмами десериализации в облачных платформах. Подобные ошибки возникают, когда разработчики недостаточно проверяют данные перед их преобразованием во внутренние объекты. Атакующие активно эксплуатируют такие бреши, поэтому производителям следует уделять приоритетное внимание безопасности при обработке внешних данных. Пользователям, в свою очередь, важно своевременно обновлять программное обеспечение и отслеживать рекомендации поставщика.
Ссылки
- https://bdu.fstec.ru/vul/2026-12045
- https://www.cve.org/CVERecord?id=CVE-2026-69836
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69836
- https://thehackernews.com/2026/08/microsoft-entra-id-flaw-cvss-100.html
- https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-max-severity-entra-id-flaw-exploited-in-attacks/
- https://thecyberexpress.com/microsoft-entra-id-cve-2026-69836-exploited/
