Microsoft schließt kritische Schwachstellen für Codeausführung und Privilegienerweiterung
Microsoft hat mehrere Schwachstellen mit maximalem Schweregrad in Entra ID, Azure Arc und Exchange Online gepatcht, die es Angreifern ermöglichten, Remotecodeausführung zu erlangen und Privilegien zu erweitern. Die Plattform, früher bekannt als Azure Active Directory (oder Azure AD), ist eine cloudbasierte IAM-Plattform, die Kunden von Microsoft 365, Azure oder Dynamics CRM Online Authentifizierung, Richtliniendurchsetzung und Schutz für Apps und Ressourcen bietet.
Die erste, von Microsoft-Chefsicherheitsingenieur Robert Fitzpatrick entdeckte Schwachstelle wird unter der Kennung CVE-2026-69836 geführt. Es handelt sich um einen kritischen Fehler in der cloudbasierten IAM-Plattform Entra ID, der Akteuren ohne Privilegien ermöglichte, in Angriffen mit geringer Komplexität Codeausführung zu erlangen. „Die Deserialisierung von nicht vertrauenswürdigen Daten in Microsoft Entra ID ermöglicht es einem unbefugten Angreifer, Code über ein Netzwerk auszuführen“, erklärte Microsoft am Donnerstag in einem Sicherheitshinweis. Gestern hat Microsoft zudem vier weitere Fehler mit maximalem Schweregrad behoben, von denen drei es unauthentifizierten Angreifern ermöglichen, Privilegien auf Azure Arc (CVE-2026-65816 und CVE-2026-69555) und Exchange Online (CVE-2026-65801) aus der Ferne zu erweitern.
Details zu gepatchten Fehlern und Sicherheitskontext
Der vierte Fehler, geführt unter CVE-2026-65770, ermöglichte die Remotecodeausführung auf einer Azure Managed Instance für Apache Cassandra. Laut Microsoft ist Exploit-Code für diese Schwachstellen noch nicht online verfügbar. Das Unternehmen fügte hinzu, dass Benutzer keine Maßnahmen ergreifen müssen, da die Fehler bereits vollständig gepatcht wurden. Nach Angaben von Microsoft wurden die Sicherheitshinweise veröffentlicht, „um für mehr Transparenz zu sorgen“.
Im September 2025 wurde eine weitere kritische Entra ID-Schwachstelle zur Privilegienerweiterung (CVE-2025-55241) gepatcht, die vom Outsider-Security-Sicherheitsforscher Dirk-jan Mollema gemeldet worden war und Angreifern vollständigen Zugriff auf den Microsoft Entra ID-Tenant jedes Unternehmens weltweit ermöglichte. Am Freitag stufte die CISA zudem eine kritische Remotecodeausführungs-Schwachstelle (RCE) in der Windows Internet Key Exchange (IKE) Service Extensions-Komponente als aktiv ausgenutzt ein. Nach einer Erklärung von Microsoft, wonach CVE-2026-69836 irrtümlicherweise als in freier Wildbahn ausgenutzt gekennzeichnet worden war, wurde der Bericht überarbeitet.
Sobald Angreifer über gültige Anmeldeinformationen verfügen, werden nur 37 % ihrer Aktionen blockiert. Allgemeine Präventionswerte können verschleiern, was nach dem Ersten Zugriff geschieht. Sobald Angreifer gültige Anmeldeinformationen verwenden, sinkt die Prävention drastisch. Der Blue Report 2026 misst Abwehrmaßnahmen Technik für Technik anhand von 338 Millionen Simulationen, die in Kundenproduktionsumgebungen durchgeführt wurden.
Quelle: Originalartikel
