Microsoft는 Entra ID ID 및 액세스 관리 플랫폼의 치명적인 보안 취약점을 수정했으며, 공격자들이 이를 공격에 악용했다고 확인했다. CVE-2026-69836으로 알려진 이 취약점은 최고 심각도 수준으로 평가되며, 인증되지 않은 공격자가 낮은 복잡도의 공격을 통해 네트워크를 거쳐 코드를 실행할 수 있도록 했다.
Entra ID는 이전에 Azure Active Directory 또는 Azure AD라는 이름으로 알려졌다. 이 플랫폼은 Microsoft 365, Azure 및 Dynamics CRM Online 고객을 대상으로 애플리케이션과 리소스 전반에서 인증, 정책 적용 및 보호 서비스를 제공한다. 따라서 ID 계층의 모든 결함은 이와 연결된 서비스 및 리소스에 대한 액세스와 직접적인 관련이 있다.
취약점에 대해 알려진 내용
이 취약점은 Microsoft의 수석 보안 엔지니어인 Robert Fitzpatrick이 발견했다. 회사의 보안 권고에 따르면, 이 결함은 Entra ID 내부에서 신뢰할 수 없는 데이터의 역직렬화로 인해 발생했으며, 권한이 없는 공격자가 네트워크를 통해 코드를 실행할 수 있도록 했다.
Microsoft는 이 취약점의 익스플로잇 코드가 아직 인터넷에 공개되지 않았다고 밝혔지만, 이를 악용한 공격의 성격에 관한 추가 정보는 공개하지 않았다. BleepingComputer가 해당 취약점과 관련된 사건에 대한 논평을 요청했을 때에도 회사 대변인은 추가 세부 정보를 제공하지 않았다.
서비스 사용자에게 필요한 조치 없음
Microsoft는 이 취약점이 자사 측에서 완전히 해결됐으며 Entra ID 사용자가 어떠한 조치도 수행할 필요가 없다고 확인했다. 회사는 CVE 식별자 공개가 결함에 대한 투명성을 강화하기 위한 것이며, 고객에게 로컬 업데이트를 설치하거나 서비스 설정을 변경하도록 요구하는 것이 아니라고 설명했다.
이 소식이 중요한 이유
이 취약점의 중요성은 Microsoft 클라우드 환경에서 Entra ID가 차지하는 위치에 있다. 이 플랫폼은 여러 기업용 서비스 전반에서 인증을 담당하고 액세스 정책을 적용한다. 공개된 설명에 따르면, 이 결함은 사전 권한이 필요하지 않으면서 원격 코드 실행이 가능하다는 특성을 함께 갖고 있었지만, 회사는 공격의 실제 결과나 이를 악용한 주체에 대해서는 공개하지 않았다.
Microsoft 서비스의 다른 치명적 취약점
이번 공개는 Microsoft가 최고 심각도 수준의 다른 취약점 4개를 해결한 지 하루 만에 나왔다. 이 중 3개는 인증되지 않은 공격자가 Azure Arc 및 Exchange Online에서 원격으로 권한을 상승시킬 수 있도록 했으며, 해당 취약점은 CVE-2026-65816, CVE-2026-69555 및 CVE-2026-65801이다. 네 번째 취약점인 CVE-2026-65770은 Azure Managed Instance for Apache Cassandra에서 원격 코드 실행을 가능하게 했다.
2025년 9월, Microsoft는 Entra ID에서 발생한 또 다른 치명적 취약점인 CVE-2025-55241을 수정했으며, 이 취약점은 Outsider Security의 보안 연구원 Dirk-jan Mollema가 보고했다. 보고서에 따르면 해당 취약점을 통해 공격자들은 전 세계 모든 기업의 Entra ID 테넌트에 대한 완전한 액세스 권한을 얻을 수 있었다.
또한 미국 사이버보안 및 인프라 보안국(CISA)은 금요일 Windows Internet Key Exchange (IKE) Service Extensions 구성 요소의 치명적인 원격 코드 실행 취약점을 활발히 악용되는 취약점 목록에 추가했다.