Microsoft hat eine kritische Remote-Code-Execution-Schwachstelle in seinem Identitäts- und Zugriffsverwaltungsdienst Entra ID gepatcht. Entgegen aktuell kursierender Medienberichte wurde die Sicherheitslücke bislang aber nicht erfolgreich für Angriffe genutzt.
Ein zunächst falsch eingestufter Status
Derzeit kursieren im Internet reihenweise Berichte über die Schwachstelle EUVD-2026-63693 / CVE-2026-69836 mit dem maximalen CVSS-Score von 10.0. Microsoft hatte in seinem Sicherheitshinweis vom 20. August 2026 zunächst bestätigt, dass die Schwachstelle aktiv ausgenutzt sei, dies jedoch einen Tag später korrigiert. Dort steht inzwischen "Exploited No". Auch im KEV-Katalog der CISA ist die Schwachstelle nicht gelistet. Sollte sich die Bedrohungslage ändern, wird darüber berichtet.
Deserialisierungsfehler mit maximalem Schweregrad
Bei der Lücke handelt es sich um einen Deserialisierungsfehler. Weil nicht vertrauenswürdige Daten in Entra ID deserialisiert werden, können unbefugte Angreifer Code über ein Netzwerk ausführen. Für die Ausnutzung besteht eine geringe Komplexität, da weder Berechtigungen noch Nutzerinteraktion erforderlich sind. Der höchstmögliche CVSS-Score von 10.0 ist deshalb überaus berechtigt, vor allem, weil Entra ID die zentrale Instanz für den Zugriff auf Microsoft-Cloud-Umgebungen ist und damit die Vertrauensbasis für sämtliche angebundenen Dienste bildet.
Da Entra ID ausschließlich von Microsoft betrieben wird, erfolgte die Behebung serverseitig, für Kunden besteht kein Patch-Bedarf. Trotz der fehlenden aktiven Ausnutzung zeigt der Fall, wie schnell aus einer theoretisch maximal kritischen Schwachstelle in Medienberichten eine vermeintlich bereits ausgenutzte Bedrohung werden kann, obwohl der Hersteller seine ursprüngliche Einschätzung längst korrigiert hat.