Krytyczna luka w Microsoft Entra ID załatana. Hakerzy mogli przejąć kontrolę bez jednego kliknięcia

W systemach zabezpieczeń chmury rzadko zdarzają się sytuacje, w których eksperci nie mają żadnych wątpliwości co do skali zagrożenia. Tym razem jednak wskaźniki zapłonęły na czerwono. Microsoft właśnie załatał lukę w usłudze Entra ID (dawniej Azure Active Directory), która w branżowej skali CVSS otrzymała rzadki, maksymalny wynik 10.0. Błąd oznaczony jako CVE-2026-69836 pozwalał na zdalne wykonanie kodu (RCE) przez sieć bez posiadania jakichkolwiek uprawnień.

To krytyczny moment dla bezpieczeństwa tożsamości cyfrowej, ponieważ Entra ID stanowi fundament logowania w tysiącach korporacji. Podatność ta, sklasyfikowana z najwyższym priorytetem, mogła otworzyć napastnikom drzwi do całej infrastruktury chmurowej danej firmy. Fakt, że atak nie wymagał ani jednego kliknięcia ze strony pracownika, czynił to zagrożenie niemal niewidocznym dla tradycyjnych systemów monitoringu. Microsoft uspokaja jednak, że luka została w pełni złagodzona bezpośrednio w infrastrukturze chmurowej.

Anatomia zagrożenia: Deserializacja bez kontroli

Problem tkwił w mechanizmie deserializacji danych. W procesie tym dane przesyłane przez sieć są przekształcane z powrotem w format zrozumiały dla aplikacji. Niestety, brak odpowiedniej walidacji tych informacji otwierał furtkę dla napastników. Wykorzystując tę lukę, nieautoryzowany podmiot mógł zdalnie wstrzyknąć i wykonać złośliwy kod w środowisku Microsoft Entra ID. Zgodnie z oficjalną dokumentacją: „Deserializacja niezaufanych danych w Microsoft Entra ID umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć”.

Szybka reakcja i rola sztucznej inteligencji

Microsoft poinformował, że błąd zidentyfikowano i usunięto, zanim stał się publicznie znany. Inżynierowie z Redmond podkreślają, że nie odnotowano przypadków wykorzystania tej podatności w realnych atakach. „Klienci nie muszą podejmować żadnych dodatkowych kroków” – zapewnia firma, ponieważ poprawka została wdrożona centralnie w chmurze.

Odkrywanie tak głęboko ukrytych błędów coraz częściej staje się domeną algorytmów, a nie tylko ludzi. Branża intensywnie inwestuje w modele AI dedykowane cyberbezpieczeństwu. Przykładem jest system MDASH, który wykorzystuje ponad sto agentów sztucznej inteligencji do nieustannego skanowania kodu. Podobne sukcesy odnosi model Claude Opus od Anthropic, który niedawno wytropił czteroletnią lukę w protokole prywatności Zcash. W obliczu coraz bardziej złożonych systemów chmurowych, wsparcie AI przestaje być nowinką, a staje się jedynym sposobem na dotrzymanie kroku grupom hakerskim.