A Microsoft corrigiu uma vulnerabilidade de segurança crítica na plataforma Entra ID de gerenciamento de identidade e acesso, depois de confirmar que invasores a exploraram em ataques. A vulnerabilidade, identificada pelo código CVE-2026-69836, tem o nível máximo de gravidade e permitia que um invasor não autenticado executasse código pela rede por meio de um ataque de baixa complexidade.
Anteriormente, a Entra ID era conhecida como Azure Active Directory ou Azure AD. A plataforma fornece serviços de autenticação, aplicação de políticas e proteção em aplicativos e recursos para clientes do Microsoft 365, Azure e Dynamics CRM Online, o que faz com que qualquer falha na camada de identidade tenha relação direta com o acesso aos serviços e recursos associados.
O que sabemos sobre a vulnerabilidade?
A vulnerabilidade foi descoberta por Robert Fitzpatrick, engenheiro-chefe de segurança da Microsoft. De acordo com o comunicado de segurança da empresa, a falha resultou da desserialização de dados não confiáveis dentro da Entra ID, permitindo que um invasor não autorizado executasse código pela rede.
A Microsoft disse que o código de exploração da vulnerabilidade ainda não está disponível na internet, mas não publicou informações adicionais sobre a natureza dos ataques que a exploraram. Um porta-voz da empresa também não forneceu detalhes adicionais quando a BleepingComputer solicitou um comentário sobre os incidentes relacionados à vulnerabilidade.
Nenhuma ação é necessária por parte dos usuários do serviço
A Microsoft confirmou que a vulnerabilidade foi totalmente corrigida de seu lado e que os usuários da Entra ID não precisam realizar nenhuma etapa. A empresa explicou que a publicação do identificador CVE tem como objetivo aumentar a transparência sobre a falha, e não solicitar que os clientes instalem uma atualização local ou alterem as configurações do serviço.
Por que esta notícia é importante?
A importância da vulnerabilidade está na posição da Entra ID nos ambientes de nuvem da Microsoft; a plataforma é responsável pela autenticação e pela aplicação de políticas de acesso em vários serviços corporativos. Segundo a descrição publicada, a falha combinava a ausência de necessidade de privilégios prévios com a possibilidade de executar código remotamente, enquanto a empresa não revelou os resultados práticos dos ataques nem os responsáveis por sua exploração.
Outras vulnerabilidades críticas nos serviços da Microsoft
A divulgação ocorreu um dia depois de a Microsoft corrigir outras quatro vulnerabilidades com o nível máximo de gravidade. Três delas permitiam que invasores não autenticados elevassem privilégios remotamente no Azure Arc e no Exchange Online: CVE-2026-65816, CVE-2026-69555 e CVE-2026-65801. A quarta, CVE-2026-65770, permitia a execução remota de código no Azure Managed Instance for Apache Cassandra.
Em setembro de 2025, a Microsoft corrigiu outra vulnerabilidade crítica na Entra ID, identificada pelo código CVE-2025-55241, que foi comunicada pelo pesquisador de segurança Dirk-jan Mollema, da Outsider Security. Essa vulnerabilidade permitia que invasores obtivessem acesso total ao locatário da Entra ID de cada empresa no mundo, segundo o relatório.
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) também incluiu, na sexta-feira, uma vulnerabilidade crítica de execução remota de código no componente Windows Internet Key Exchange (IKE) Service Extensions entre as vulnerabilidades exploradas ativamente.