A Microsoft corrigiu v\u00e1rias vulnerabilidades de gravidade m\u00e1xima no Entra ID, Azure Arc e Exchange Online que permitiam aos atacantes obter execu\u00e7\u00e3o remota de c\u00f3digo e escalar privil\u00e9gios. Anteriormente conhecido como Azure Active Directory (ou Azure AD), \u00e9 uma plataforma IAM baseada na nuvem que fornece aos clientes do Microsoft 365, Azure ou Dynamics CRM Online autentica\u00e7\u00e3o, aplica\u00e7\u00e3o de pol\u00edticas e prote\u00e7\u00e3o em aplicativos e recursos.<\/p>\n
A primeira, descoberta pelo engenheiro principal de seguran\u00e7a da Microsoft, Robert Fitzpatrick, e registada como CVE-2026-69836, \u00e9 uma falha cr\u00edtica na plataforma IAM baseada na nuvem Entra ID que permitia a agentes de amea\u00e7as sem privil\u00e9gios obter a execu\u00e7\u00e3o de c\u00f3digo em ataques de baixa complexidade. “A desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no Microsoft Entra ID permite que um atacante n\u00e3o autorizado execute c\u00f3digo atrav\u00e9s de uma rede”, afirmou a Microsoft num aviso de seguran\u00e7a publicado na quinta-feira. Ontem, a Microsoft tamb\u00e9m abordou mais quatro falhas de gravidade m\u00e1xima, tr\u00eas das quais permitindo que atacantes n\u00e3o autenticados escalassem privil\u00e9gios remotamente no Azure Arc (CVE-2026-65816 e CVE-2026-69555) e no Exchange Online (CVE-2026-65801).<\/p>\n
A quarta falha, registada como CVE-2026-65770, permitia a execu\u00e7\u00e3o remota de c\u00f3digo numa Inst\u00e2ncia Gerenciada do Azure para Apache Cassandra. A Microsoft diz que o c\u00f3digo de explora\u00e7\u00e3o para estas vulnerabilidades ainda n\u00e3o est\u00e1 dispon\u00edvel online e acrescentou que os utilizadores n\u00e3o precisam de tomar nenhuma medida, uma vez que as falhas j\u00e1 foram totalmente corrigidas. De acordo com a Microsoft, a empresa publicou os avisos de seguran\u00e7a “para fornecer maior transpar\u00eancia”.<\/p>\n
Em setembro de 2025, corrigiu outra falha cr\u00edtica de escalamento de privil\u00e9gios no Entra ID (CVE-2025-55241) relatada pelo investigador de seguran\u00e7a da Outsider Security, Dirk-jan Mollema, que permitia aos atacantes obter acesso completo ao inquilino do Microsoft Entra ID de todas as empresas do mundo. Na sexta-feira, a CISA tamb\u00e9m sinalizou uma falha cr\u00edtica de execu\u00e7\u00e3o remota de c\u00f3digo (RCE) no componente Windows Internet Key Exchange (IKE) Service Extensions como ativamente explorada. Ap\u00f3s uma declara\u00e7\u00e3o da Microsoft a afirmar que marcaram erroneamente a CVE-2026-69836 como explorada ativamente, a hist\u00f3ria foi revista.<\/p>\n
Assim que os atacantes possuem credenciais v\u00e1lidas, apenas 37% das suas a\u00e7\u00f5es s\u00e3o bloqueadas. As pontua\u00e7\u00f5es gerais de preven\u00e7\u00e3o podem ocultar o que acontece ap\u00f3s o acesso inicial. Assim que os atacantes utilizam credenciais v\u00e1lidas, a preven\u00e7\u00e3o cai acentuadamente. O Blue Report 2026 mede as defesas t\u00e9cnica por t\u00e9cnica em 338 milh\u00f5es de simula\u00e7\u00f5es executadas em ambientes de produ\u00e7\u00e3o de clientes.<\/p>\n