Il 21 agosto 2026 Microsoft ha pubblicato CVE-2026-69836 con CVSS 10.0, la gravità massima, segnalando exploitation attivo in Entra ID. Ventiquattro ore dopo ha rettificato: nessun exploitation confermato. Il fix è avvenuto lato server senza azione richiesta ai clienti, ma l'inversione di rotta getta ombre sui processi di classificazione delle minacce del più grande vendor cloud al mondo.
- CVE-2026-69836 ha CVSS 10.0/10 con vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H secondo il record NVD: RCE pre-autenticazione via rete con impatto totale sui tre pilastri CIA.
- La vulnerabilità risiede nella deserializzazione di dati non attendibili (CWE-502) in Microsoft Entra ID, il servizio di identità cloud.
- Microsoft ha patchato esclusivamente lato infrastruttura: nessuna azione richiesta agli amministratori, nessun update da distribuire.
- Il 22 agosto Microsoft ha rettificato la classificazione iniziale di "exploited in the wild": l'errore resta senza spiegazione pubblica.
La meccanica della falla: deserialization con impatto totale
Il record CVE-2026-69836 nel National Vulnerability Database, consultato il 22 agosto 2026, descrive la vulnerabilità come "deserialization of untrusted data" con conseguente esecuzione di codice remota. Il vector string è senza attenuazioni: accesso da rete, nessun privilegio richiesto, nessuna interazione utente, scope changed. Robert Fitzpatrick, principal security engineer Microsoft, è accreditato come scopritore. BleepingComputer riporta la descrizione ufficiale del vendor: "Deserialization of untrusted data in Microsoft Entra ID allows an unauthorized attacker to execute code over a network".
L'assenza di privilegi prerequisiti e la complessità di attacco bassa collocano la vulnerabilità nel peggiore scenario teorico per un servizio IAM pubblico su internet. Entra ID, piattaforma di gestione identità e accesso che sostituisce Azure AD, costituisce il perimetro primario di autenticazione per milioni di tenant aziendali globali. Una RCE pre-autenticazione a questo livello avrebbe implicato la compromissione del piano di controllo identità senza alcuna barriera iniziale.
La natura server-side della mitigazione, tuttavia, isola il rischio operativo. Techzine cita Microsoft: "This vulnerability has already been fully mitigated by Microsoft. There is no action for users of this service to take". Il vendor ha aggiunto che lo scopo del CVE è "provide further transparency", formula che suggerisce una pubblicazione motivata da obbligo informativo più che da emergenza attiva.
La rettifica del 22 agosto: da zero-day a falso allarme
La discontinuità narrativa è il cuore del caso. SecurityWeek, BleepingComputer e altre testate hanno inizialmente riportato exploitation in corso basandosi sulle prime comunicazioni Microsoft. Il 22 agosto la stessa BleepingComputer ha pubblicato una correzione editoriale: "Revised story and title following a statement from Microsoft saying they mistakenly flagged CVE-2026-69836 as exploited in the wild". Cybersecurity Dive conferma: "updated the announcement on Friday saying there was no exploitation".
"This vulnerability has already been fully mitigated by Microsoft. There is no action for users of this service to take. The purpose of this CVE is to provide further transparency." — Microsoft, via Techzine
CISA, attraverso il campo SSVC nel record NVD, ha classificato exploitation:none con automatable:yes e technicalImpact:total. La convergenza tra la rettifica Microsoft e il profilo CISA-ADP elimina lo scenario di attacco attivo, ma non quello teorico: la vulnerabilità resta massimamente pericolosa per progetto, semplicemente non materializzata in exploitation confermata.
Microsoft non ha fornito spiegazioni sull'origine dell'errore di classificazione. Il gap informativo lascia aperti due interrogativi: se la flag "exploited" derivasse da un incidente di threat intelligence interno successivamente ricalibrato, o da un errore procedurale nella catena di pubblicazione advisory. Cybersecurity Dive nota esplicitamente che "The company did not provide an immediate explanation for the status change".
Il contesto: Entra ID sotto pressione
CVE-2026-69836 non è un'anomalia isolata nel perimetro Microsoft. Il record NVD elenca nel medesimo batch altre quattro vulnerabilità con CVSS 10.0: CVE-2026-69502 e CVE-2026-69555 (Azure Arc), CVE-2026-65816 (Azure Cosmos DB for Apache Cassandra), CVE-2026-65801 (Exchange Online), CVE-2026-65770 (non dettagliato nel brief). SecurityWeek riporta 22 patch totali il 21 agosto 2026, con cinque criticità alla gravità massima.
Nel settembre 2025 Microsoft aveva già corretto CVE-2025-55241, un'altra vulnerabilità critica in Entra ID con identico punteggio CVSS 10.0. BleepingComputer collega i due eventi, evidenziando un pattern di criticità ricorrente nella piattaforma IAM. La concentrazione di flaw di massima gravità nel medesimo servizio cloud, anche senza exploitation confermata, segnala una superficie d'attacco significativa nel piano di controllo identità.
Il ciclo di vita delle vulnerabilità cloud-server introduce una asimmetria di governance: il vendor controlla monoliticamente il fix, ma anche la classificazione del rischio. Nessun amministratore esterno può verificare indipendentemente lo stato di exploitation né la completezza della mitigazione. La rettifica Microsoft, pur rassicurante sul piano operativo, accentua questa dipendenza epistemica.
Perche e importante
Il brief non documenta misure correttive specifiche richieste agli utenti: il fix è già applicato e invisibile. Il dossier non specifica la natura dei dati potenzialmente esposti, la classe o il metodo di deserializzazione vulnerabile, né indicatori di compromesso pubblici. Non emergono sovrapposizioni infrastrutturali che colleghino CVE-2026-69836 alle altre quattro criticità CVSS 10.0 dello stesso batch.
Il caso, tuttavia, solleva una questione strutturale per chi gestisce identità aziendali su cloud centralizzati. La capacità di Microsoft di invertire la classificazione di exploitation in meno di ventiquattro ore, senza comunicare il motivo, evidenzia la fragilità delle catene di segnalazione threat intelligence anche nei vendor più maturi. Per i responsabili della sicurezza, l'episodio funge da stress test sui propri flussi di risposta: se la rettifica fosse arrivata con ritardo, molte organizzazioni avrebbero attivato procedure di crisi su base di informazione errata.
L'incertezza residua non riguarda la pericolosità tecnica della vulnerabilità, che è documentata e massima, ma la postura di threat intelligence del vendor che la ospita. Nelle architetture IAM cloud, dove il perimetro di sicurezza coincide con il perimetro del provider, questa incertezza è inherente al modello.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.securityweek.com/microsoft-rolls-out-22-fresh-security-patches/
- https://www.techzine.eu/news/security/143761/microsoft-patches-critical-vulnerability-in-entra-id-following-active-exploitation/
- https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-max-severity-entra-id-flaw-exploited-in-attacks/
- https://secarma.com/21-08-2026-microsoft-entra-id-critical-vulnerability
- https://www.cybersecuritydive.com/news/microsoft-maximum-severity-flaw-entra-id-exploitation/828501/
- https://nvd.nist.gov/vuln/detail/CVE-2026-69836
- http://nvd.nist.gov/vuln/detail/CVE-2026-65816
- http://nvd.nist.gov/vuln/detail/CVE-2026-69555
- https://nvd.nist.gov/vuln/detail/CVE-2026-65801
- https://nvd.nist.gov/vuln/detail/CVE-2026-65770