Falha crítica no Microsoft Entra ID já foi explorada em ataques

A Microsoft corrigiu uma vulnerabilidade classificada com severidade máxima no Microsoft Entra ID, o serviço de gestão de identidades que sustenta logins de Microsoft 365, Azure e Dynamics. A falha não é teórica, já foi explorada em ataques reais.

O problema está registado como CVE-2026-69836 e foi descoberto por Robert Fitzpatrick, principal engenheiro de segurança da própria Microsoft. Em termos técnicos, trata-se de uma desserialização de dados não confiáveis: um cenário clássico em que um serviço recebe dados de rede, assume que são “bons” e acaba a executar código controlado pelo atacante. Pior: segundo a descrição oficial, bastava um atacante sem qualquer privilégio para disparar o ataque, com baixa complexidade. Para um serviço que gere identidades na cloud global da Microsoft, é tão mau quanto parece.

A empresa garante que o exploit ainda não circula publicamente e que a vulnerabilidade foi “totalmente mitigada”, sem necessidade de ação por parte dos clientes. Em bom português: isto foi corrigido do lado da Microsoft, nos bastidores, sem patch para instalar. A própria nota oficial diz que o CVE serve apenas para “dar transparência”. O problema é que essa transparência pára aí. Não há detalhes sobre o vector concreto, não há números sobre quantos tenants foram afetados, não há qualquer descrição útil para equipas de segurança perceberem o risco real ou ajustar deteções internas. A mesma lógica opaca que já vimos noutras correções silenciosas em serviços cloud.

Em paralelo, a Microsoft tratou mais quatro vulnerabilidades de severidade máxima: três elevações de privilégio sem autenticação em Azure Arc e Exchange Online, e uma execução remota de código em instâncias geridas de Apache Cassandra no Azure. O padrão repete-se, tal como já tínhamos visto noutras falhas críticas em serviços empresariais, da Cisco ao macOS, onde a exploração começou antes de haver contexto completo para os administradores. Cloud “gerida” continua a significar que o fornecedor controla tanto o patch como a narrativa.

Não é a primeira vez que o Entra ID entra nas notícias pelos piores motivos. Em setembro de 2025, o CVE-2025-55241 permitia escalar privilégios e tomar conta do tenant Entra ID de qualquer empresa do planeta, segundo o investigador Dirk-jan Mollema. A sucessão de falhas graves em serviços de identidade expõe um problema estrutural: concentramos cada vez mais chaves da casa em poucas plataformas, mas continuamos dependentes de comunicados mínimos e timelines pouco claras sempre que algo corre mal.

Para quem administra infraestruturas em Portugal, a mensagem prática é simples: confiar que o fornecedor “já mitigou” não chega. Vale a pena rever logs de autenticação e chamadas às APIs de Entra ID deste período, reforçar monitorização sobre atividades anómalas e assumir que falhas críticas podem ser exploradas em silêncio durante algum tempo. A Microsoft gosta de falar de confiança zero, mas enquanto continuar a tratar detalhes técnicos como segredo comercial, o zero está mais do lado da transparência do que da confiança.

Fonte: BleepingComputer