Microsoft corregge una falla Entra ID da CVSS 10 con rischio di RCE

Una vulnerabilità critica di Microsoft Entra ID, il servizio cloud che gestisce identità, autenticazione e autorizzazioni per Microsoft 365, Azure e numerose applicazioni, ha ricevuto il punteggio massimo di 10.0 secondo CVSS 3.1. La falla, identificata come CVE-2026-69836, poteva consentire a un attaccante non autenticato di eseguire codice da remoto attraverso la rete.

Microsoft ha però già corretto il problema direttamente lato servizio. L’azienda ha inoltre rettificato un’informazione iniziale contenuta nel bollettino: la vulnerabilità non è stata sfruttata in attacchi reali. Di conseguenza, il caso deve essere considerato grave sul piano tecnico, ma non come una campagna attiva contro i tenant Entra ID. I clienti non devono installare patch né modificare la configurazione del servizio.

Cosa sappiamo della vulnerabilità

CVE-2026-69836 riguarda una deserializzazione di dati non attendibili. La serializzazione trasforma un oggetto in una rappresentazione che può essere trasmessa o salvata, mentre la deserializzazione lo ricostruisce. Se l’applicazione accetta dati manipolati senza controlli adeguati, l’attaccante può influenzare il modo in cui l’oggetto viene ricreato e processato.

Microsoft ha descritto la falla come una vulnerabilità che consente l’esecuzione di codice da remoto in Entra ID. Il vettore CVSS 3.1 è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. In pratica, l’attacco può essere condotto via rete, presenta una complessità ridotta, non richiede privilegi preliminari e non dipende dall’interazione di una vittima. Le conseguenze potenziali riguardano confidenzialità, integrità e disponibilità dei dati.

Il valore 10.0 rappresenta la massima gravità tecnica prevista da CVSS, ma non dimostra che ogni tenant sia stato compromesso. Il punteggio serve a stabilire la priorità di una vulnerabilità e non indica, da solo, la probabilità di sfruttamento, la disponibilità di un exploit pubblico o l’esposizione concreta di una specifica organizzazione.

Il parametro S:C, ovvero “Scope Changed”, segnala inoltre che gli effetti di un eventuale sfruttamento potrebbero superare il confine di sicurezza del componente inizialmente vulnerabile. Non significa che un singolo attacco avrebbe automaticamente compromesso tutti i servizi Microsoft o ogni tenant Entra ID.

Perché il problema resta importante

Entra ID occupa una posizione centrale nelle infrastrutture cloud moderne. Il servizio autentica utenti, applicazioni e dispositivi, applica criteri di accesso e controlla le autorizzazioni verso risorse cloud, applicazioni SaaS e sistemi aziendali. Microsoft lo utilizza anche per la gestione di gruppi, ruoli amministrativi, dispositivi, Conditional Access e identità ibride.

Per questo motivo, una vulnerabilità RCE nel servizio di identità avrebbe potuto offrire un punto di partenza particolarmente prezioso per ulteriori compromissioni. L’impatto effettivo sarebbe dipeso dai privilegi disponibili, dalle separazioni interne e dai controlli applicati nell’ambiente interessato. La centralità del servizio, tuttavia, spiega perché una falla apparentemente circoscritta possa avere implicazioni più ampie rispetto a un difetto presente in una singola applicazione.

La notizia è stata inizialmente interpretata in modo ancora più allarmante perché il bollettino Microsoft indicava lo sfruttamento della vulnerabilità. Dopo una richiesta di chiarimento, l’azienda ha modificato il campo “Exploited” da “Yes” a “No” e ha confermato che CVE-2026-69836 non è stata utilizzata in attacchi reali. L’informazione è stata successivamente recepita anche nell’articolo aggiornato di The Hacker News.

Microsoft ha attribuito la scoperta a Robert Fitzpatrick, principal security engineer, ma non ha pubblicato dettagli sufficienti per ricostruire una procedura di exploit. Non risultano quindi campagne operative documentate, né elementi che dimostrino la compromissione di tenant Entra ID attraverso questa falla.

Nessuna patch per i clienti

La correzione è stata applicata direttamente all’infrastruttura cloud di Microsoft. Gli amministratori non devono scaricare aggiornamenti, distribuire pacchetti tramite Intune o intervenire sui computer degli utenti. Microsoft ha dichiarato che la vulnerabilità è stata completamente mitigata e che non è richiesta alcuna azione da parte dei clienti.

È comunque consigliabile registrare la CVE nei sistemi interni di gestione delle vulnerabilità e conservare l’avviso tra gli eventi di sicurezza rilevanti. Le organizzazioni possono inoltre verificare i log disponibili per il periodo precedente alla correzione, non perché Microsoft abbia confermato compromissioni, ma per mantenere una corretta tracciabilità dell’incidente.

Le normali difese di Entra ID restano fondamentali: autenticazione multifattore, Conditional Access, principio del privilegio minimo, protezione degli account amministrativi e monitoraggio delle attività sospette. Queste misure non correggono CVE-2026-69836, già risolta lato servizio, ma riducono il rischio associato ad altri attacchi contro le identità aziendali.