Microsoft ha corretto diverse vulnerabilit\u00e0 di massima gravit\u00e0 in Entra ID, Azure Arc ed Exchange Online che consentivano agli aggressori di ottenere l’esecuzione di codice remoto e di scalare i privilegi. Precedentemente noto come Azure Active Directory (o Azure AD), \u00e8 una piattaforma IAM basata su cloud che fornisce ai clienti di Microsoft 365, Azure o Dynamics CRM Online autenticazione, applicazione di policy e protezione tra app e risorse.<\/p>\n
La prima, scoperta dal principal security engineer di Microsoft Robert Fitzpatrick e tracciata come CVE-2026-69836, \u00e8 una falla critica nella piattaforma IAM basata su cloud Entra ID che consentiva a threat actor senza privilegi di ottenere l’esecuzione di codice in attacchi a bassa complessit\u00e0. “La deserializzazione di dati non attendibili in Microsoft Entra ID consente a un utente malintenzionato non autorizzato di eseguire codice su una rete”, ha affermato Microsoft in un bollettino sulla sicurezza pubblicato gioved\u00ec. Ieri Microsoft ha anche risolto altre quattro falle di massima gravit\u00e0, tre delle quali consentono ad aggressori non autenticati di scalare i privilegi da remoto su Azure Arc (CVE-2026-65816 e CVE-2026-69555) ed Exchange Online (CVE-2026-65801).<\/p>\n
La quarta falla, tracciata come CVE-2026-65770, ha abilitato l’esecuzione di codice remoto su un’istanza gestita di Azure per Apache Cassandra. Microsoft afferma che il codice exploit per queste vulnerabilit\u00e0 non \u00e8 ancora disponibile online e ha aggiunto che gli utenti non devono intraprendere alcuna azione poich\u00e9 le falle sono gi\u00e0 state completamente corrette. Secondo Microsoft, l’azienda ha pubblicato i bollettini sulla sicurezza “per garantire maggiore trasparenza”.<\/p>\n
Nel settembre 2025, ha corretto un’altra falla critica di escalation dei privilegi in Entra ID (CVE-2025-55241) segnalata dal ricercatore di sicurezza di Outsider Security Dirk-jan Mollema, che consentiva agli aggressori di ottenere l’accesso completo al tenant Microsoft Entra ID di ogni azienda nel mondo. Venerd\u00ec la CISA ha inoltre classificato come attivamente sfruttata una falla di esecuzione di codice remoto (RCE) di gravit\u00e0 critica nel componente Windows Internet Key Exchange (IKE) Service Extensions. A seguito di una dichiarazione di Microsoft in cui affermava di aver erroneamente segnalato CVE-2026-69836 come sfruttata “in the wild”, la notizia \u00e8 stata rivista.<\/p>\n
Una volta che gli aggressori dispongono di credenziali valide, solo il 37% delle loro azioni viene bloccato. I punteggi di prevenzione complessivi possono nascondere ci\u00f2 che accade dopo l’accesso iniziale. Una volta che gli aggressori utilizzano credenziali valide, la prevenzione diminuisce drasticamente. Il Blue Report 2026 misura le difese tecnica per tecnica attraverso 338 milioni di simulazioni eseguite negli ambienti di produzione dei clienti.<\/p>\n