Microsoft a découvert une faille critique dans Entra ID. Les utilisateurs n’ont rien à faire, car le risque a été atténué entre-temps.
Microsoft signale une faille avec un score CVSS maximal de 10 dans Entra ID. La vulnérabilité CVE-2026-69836 est qualifiée de critique et permettrait à des attaquants d’exécuter leur propre code à distance via le réseau. Conformément à ce score élevé, la faille était facile à exploiter pour les attaquants.
Cela semble dramatique, mais Microsoft a découvert et corrigé elle-même la faille zero-day avant que des cybercriminels n’en aient connaissance. La brèche est désormais colmatée. Les utilisateurs d’Entra ID n’ont aucune mesure à prendre : l’atténuation a eu lieu entièrement du côté de Microsoft. Il n’y a aucune preuve d’exploitation ni de risque de sécurité supplémentaire.
Entra ID, anciennement connu sous le nom d’Azure Active Directory, est la plateforme de gestion des accès et des identités pour Microsoft 365 ainsi que pour les services Azure de Microsoft.
Impact limité, grand soulagement
Microsoft partage toutefois la CVE, bien qu’aucune mesure ne soit nécessaire. Le spécialiste du logiciel affirme le faire au nom d’une transparence totale.
Une faille présentant un tel score de gravité, facile à exploiter à distance, a le potentiel d’être dramatique. C’est particulièrement vrai lorsque la vulnérabilité survient chez un fournisseur largement reconnu. Heureusement, il s’agissait ici d’une faille résidant exclusivement dans un service de Microsoft, qui a pu être corrigée du côté de Microsoft.
D’autres scénarios se sont déjà produits. Pensons à la faille Log4j fin 2021. Celle-ci se trouvait dans un composant open source utilisé par de nombreux éditeurs de logiciels, ce qui empêchait tout correctif centralisé. Il s’est avéré impossible de mobiliser toutes les parties concernées pour appliquer les correctifs nécessaires avant que les cybercriminels ne commencent à s’en mêler.