Entra ID: Microsoft behebt kritische Schwachstelle mit CVSS 10,0
Veröffentlicht am: 24.08.2026 um 09:23 Uhr | Redaktion boerse-global.de
Microsoft hat eine kritische Schwachstelle in seinem Identitätsdienst Entra ID behoben. Die als CVE-2026-69836 registrierte Lücke erreicht mit einem CVSS-Score von 10,0 die höchstmögliche Bewertung auf der Schwachstellenskala. Es handelt sich um eine Deserialisierungs-Schwachstelle (CWE-502), die aus der Ferne ausnutzbar ist, ohne dass Angreifer Privilegien oder eine Interaktion des Nutzers benötigen.
Widersprüchliche Angaben zum Ausnutzungsstatus
Zum tatsächlichen Ausnutzungsstatus der Lücke gab es zunächst widersprüchliche Meldungen. Microsoft hatte den Exploit-Status ursprünglich mit „Ja" angegeben, korrigierte diese Einschätzung jedoch nachträglich auf „Nein" – die Schwachstelle sei nach dieser Korrektur nicht in freier Wildbahn ausgenutzt worden.
Auch andere Quellen bestätigten zunächst keinen eindeutigen Befund: Während die französische Cybersicherheitsbehörde CERT-FR zeitweise von aktiver Ausnutzung berichtete, zeigten die Datenbanken NVD und CISA „keine" Ausnutzung an. Microsoft selbst bestätigte die kritische Schwachstelle in Entra ID am 20. August 2026 und erklärte, es gebe keinen bestätigten Ausnutzungsstatus.
Die Lücke ist über das Netzwerk erreichbar, erfordert keine Authentifizierung und ermöglicht potenziell die Ausführung von Schadcode aus der Ferne. Entdeckt wurde die Schwachstelle von Robert Fitzpatrick. Microsoft erklärte, dass für Kunden keine eigene Handlung erforderlich sei – der Patch wird zentral über die Cloud-Infrastruktur ausgerollt.
Weitere kritische Cloud-Schwachstellen betroffen
Neue KI-Gesetze und veränderte Bedrohungslagen durch Cloud-Schwachstellen stellen Unternehmen vor wachsende Herausforderungen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und technischen Risiken Unternehmer jetzt kennen müssen. Gratis Cyber-Security Report abrufen
Die Entra-ID-Lücke war nicht die einzige mit Höchstbewertung, die Microsoft schloss. Nach Angaben von heise.de patchte der Konzern parallel weitere kritische Schwachstellen mit einem CVSS-Wert von ebenfalls 10,0, die unter anderem Azure Managed Instance for Apache Cassandra, Azure Arc, Azure SQL Database sowie Exchange Online betrafen. Auch hierfür sei keine gesonderte Kundenaktion notwendig gewesen, da die Fixes serverseitig ausgerollt wurden.
Einordnung
Da Entra ID als zentraler Identitäts- und Zugriffsverwaltungsdienst für zahlreiche Microsoft-Cloud-Produkte fungiert, hätte eine erfolgreiche Ausnutzung der Schwachstelle potenziell weitreichende Folgen für Unternehmen haben können, die auf die Plattform für Authentifizierung und Zugriffskontrolle setzen.
Wer die IT-Sicherheit im eigenen Betrieb ohne hohe Investitionen stärken möchte, findet in diesem Leitfaden wertvolle Unterstützung. Das kostenlose E-Book enthüllt, wie Sie Sicherheitslücken proaktiv schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Zum kostenlosen Sicherheits-E-Book
Die Tatsache, dass mehrere kritische Lücken mit der höchsten CVSS-Bewertung gleichzeitig in unterschiedlichen Cloud-Diensten identifiziert und geschlossen wurden, unterstreicht die Bedeutung, die Cloud-Infrastrukturanbieter der kontinuierlichen Absicherung ihrer Dienste beimessen. Da die Patches serverseitig ausgerollt wurden, mussten betroffene Organisationen keine eigenen Maßnahmen ergreifen, um geschützt zu sein.
