Microsoft Patches Maximum-Severity Code Execution and Privilege Escalation Flaws
Microsoft ha corretto diverse vulnerabilità di massima gravità in Entra ID, Azure Arc ed Exchange Online che consentivano agli aggressori di ottenere l’esecuzione di codice remoto e di scalare i privilegi. Precedentemente noto come Azure Active Directory (o Azure AD), è una piattaforma IAM basata su cloud che fornisce ai clienti di Microsoft 365, Azure o Dynamics CRM Online autenticazione, applicazione di policy e protezione tra app e risorse.
La prima, scoperta dal principal security engineer di Microsoft Robert Fitzpatrick e tracciata come CVE-2026-69836, è una falla critica nella piattaforma IAM basata su cloud Entra ID che consentiva a threat actor senza privilegi di ottenere l’esecuzione di codice in attacchi a bassa complessità. “La deserializzazione di dati non attendibili in Microsoft Entra ID consente a un utente malintenzionato non autorizzato di eseguire codice su una rete”, ha affermato Microsoft in un bollettino sulla sicurezza pubblicato giovedì. Ieri Microsoft ha anche risolto altre quattro falle di massima gravità, tre delle quali consentono ad aggressori non autenticati di scalare i privilegi da remoto su Azure Arc (CVE-2026-65816 e CVE-2026-69555) ed Exchange Online (CVE-2026-65801).
Details of Patched Flaws and Security Context
La quarta falla, tracciata come CVE-2026-65770, ha abilitato l’esecuzione di codice remoto su un’istanza gestita di Azure per Apache Cassandra. Microsoft afferma che il codice exploit per queste vulnerabilità non è ancora disponibile online e ha aggiunto che gli utenti non devono intraprendere alcuna azione poiché le falle sono già state completamente corrette. Secondo Microsoft, l’azienda ha pubblicato i bollettini sulla sicurezza “per garantire maggiore trasparenza”.
Nel settembre 2025, ha corretto un’altra falla critica di escalation dei privilegi in Entra ID (CVE-2025-55241) segnalata dal ricercatore di sicurezza di Outsider Security Dirk-jan Mollema, che consentiva agli aggressori di ottenere l’accesso completo al tenant Microsoft Entra ID di ogni azienda nel mondo. Venerdì la CISA ha inoltre classificato come attivamente sfruttata una falla di esecuzione di codice remoto (RCE) di gravità critica nel componente Windows Internet Key Exchange (IKE) Service Extensions. A seguito di una dichiarazione di Microsoft in cui affermava di aver erroneamente segnalato CVE-2026-69836 come sfruttata “in the wild”, la notizia è stata rivista.
Una volta che gli aggressori dispongono di credenziali valide, solo il 37% delle loro azioni viene bloccato. I punteggi di prevenzione complessivi possono nascondere ciò che accade dopo l’accesso iniziale. Una volta che gli aggressori utilizzano credenziali valide, la prevenzione diminuisce drasticamente. Il Blue Report 2026 misura le difese tecnica per tecnica attraverso 338 milioni di simulazioni eseguite negli ambienti di produzione dei clienti.
Fonte: Articolo originale
