A Microsoft corrigiu uma vulnerabilidade de gravidade máxima no Entra ID que poderia permitir execução remota de código pela rede. A falha, identificada como CVE-2026-69836, recebeu pontuação CVSS 10.0 e afetava o serviço de gerenciamento de identidade e acesso em nuvem da empresa.
O problema estava relacionado à desserialização de dados não confiáveis. Nesse tipo de falha, informações controladas por um invasor podem ser convertidas em objetos ou estruturas executáveis sem validação adequada, criando condições para comprometimento do serviço.
Segundo a descrição técnica divulgada pela Microsoft, um atacante não autorizado poderia explorar a vulnerabilidade remotamente por meio da rede. A classificação CVSS 10.0 indica potencial impacto elevado sobre confidencialidade, integridade e disponibilidade.
A falha foi descoberta e reportada por Robert Fitzpatrick, principal engenheiro de segurança da Microsoft. Até o momento, não foram divulgados detalhes técnicos suficientes para reproduzir o ataque ou informações sobre o vetor exato necessário para exploração.
Inicialmente, o boletim de segurança indicava que a vulnerabilidade havia sido explorada ativamente. Em 21 de agosto de 2026, porém, a Microsoft corrigiu essa informação e confirmou que não há evidências de exploração em ataques reais.
Como o Entra ID é um serviço gerenciado em nuvem, a correção foi aplicada diretamente pela Microsoft na infraestrutura da plataforma.
