Entra ID: Microsoft behebt kritische Lücke mit CVSS 10.0
Veröffentlicht am: 23.08.2026 um 23:02 Uhr | Redaktion boerse-global.de
Microsoft hat eine kritische Sicherheitslücke in seinem Identitätsdienst Entra ID behoben. Die als CVE-2026-69836 registrierte Schwachstelle erhielt einen CVSS-Score von 10.0 – die höchstmögliche Bewertung im Common Vulnerability Scoring System.
Ausnutzung ohne Authentifizierung möglich
Die Lücke ermöglichte Remote Code Execution, ohne dass Angreifer über Privilegien verfügen oder eine Interaktion des Nutzers auslösen mussten. Ursache war eine Deserialisierung nicht vertrauenswürdiger Daten (CWE-502). Die Schwachstelle war über das Netzwerk erreichbar und erforderte weder Authentifizierung noch Nutzerinteraktion, was sie besonders gefährlich machte. Entdeckt wurde die Lücke von Robert Fitzpatrick.
Kein Hinweis auf aktive Ausnutzung
Microsoft behob die Schwachstelle, bevor Details öffentlich bekannt wurden. Nach aktuellem Stand gibt es keine Hinweise auf eine tatsächliche Ausnutzung der Lücke. Zwischenzeitlich hatte die französische Cybersicherheitsbehörde CERT-FR von einer aktiven Ausnutzung berichtet, Microsoft korrigierte diese Einschätzung jedoch dahingehend, dass keine aktive Ausnutzung vorliege. Auch die Datenbanken NVD und CISA führen den Ausnutzungsstatus als „none".
Wer sich mit der Absicherung zentraler Identitätsdienste befasst, erkennt schnell die Komplexität aktueller Cyberrisiken und gesetzlicher Anforderungen. Dieses kostenlose E-Book liefert fundierte Informationen zu neuen Bedrohungen und zeigt, wie Unternehmen ihre IT-Sicherheit auch ohne hohe Investitionen stärken können. IT-Sicherheits-Report jetzt gratis herunterladen
Serverseitiger Fix ohne Kundenaktion
Da es sich um eine cloudbasierte Komponente handelt, konnte Microsoft den Fix serverseitig ausrollen. Kunden mussten dafür keine eigenen Maßnahmen ergreifen. Dennoch wird Organisationen empfohlen, die veröffentlichte Microsoft-Anleitung zu der Schwachstelle zu prüfen, um sicherzustellen, dass keine weiteren Anpassungen in der eigenen Umgebung notwendig sind.
Teil eines größeren Trends
Die Entdeckung der Lücke reiht sich nach Einschätzung von Beobachtern in einen Trend ein, bei dem zunehmend KI-gestützte Methoden zur Aufspürung von Sicherheitslücken zum Einsatz kommen. Microsoft Entra ID ist als zentraler Identitäts- und Zugriffsverwaltungsdienst für Unternehmenskunden von hoher Bedeutung, da über ihn der Zugang zu zahlreichen Cloud- und On-Premises-Ressourcen gesteuert wird.
Vorfälle wie kritische Lücken in Cloud-Infrastrukturen verdeutlichen, wie wichtig eine proaktive Absicherung gegen moderne Angriffsmethoden ist. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Sicherheitslücken effektiv schließen und Ihr Unternehmen vor Cyberkriminalität schützen. Gratis E-Book: Cyber Security Strategien sichern
Eine erfolgreiche Ausnutzung einer Schwachstelle mit dieser Bewertung hätte potenziell weitreichende Folgen für betroffene Organisationen haben können, da Angreifer ohne Zugangsdaten und ohne Zutun eines Nutzers Schadcode hätten ausführen können.
Der Fall zeigt erneut, wie kritisch die Absicherung zentraler Identitätsdienste für die IT-Sicherheit von Unternehmen ist. Microsoft betonte, dass Kunden aufgrund des serverseitigen Fixes nicht selbst aktiv werden müssen, verwies aber gleichzeitig auf die eigene Sicherheitsdokumentation, um Organisationen eine vollständige Prüfung ihrer Umgebungen zu ermöglichen.
