Intel

CVE-2026-69836

Microsoft Entra ID — Microsoft Entra ID Deserialization of Untrusted Data Vulnerability

criticalKEV: aktiv ausgenutztPoCEPSS 1.6 %

Beschreibung

Die Deserialisierung von nicht vertrauenswürdigen Daten in Microsoft Entra ID ermöglicht es einem unbefugten Angreifer, Code über ein Netzwerk auszuführen.

Quelle: NVDCISA_KEVMSRCCVELISTV5BSIBSI_CSAF

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2026-69836 erhält einen CVSS-v3-Score von 10.0 (AV:N/AC:L/PR:N/UI:N/S:C) — die höchste mögliche Einstufung — da ein nicht authentifizierter Angreifer über das Netzwerk ohne jede Benutzerinteraktion beliebigen Code ausführen und dabei die Scope-Grenze überschreiten kann. Der EPSS-Wert von 1,55 % (Perzentile 73,4 %) zeigt, dass das Exploit-Risiko im Vergleich zur Gesamtheit bekannter CVEs überdurchschnittlich hoch eingestuft wird, auch wenn noch keine massenhafte Ausnutzung beobachtet wurde. Für NIS2-pflichtige Organisationen ist Microsoft Entra ID typischerweise der zentrale Identitäts- und Zugriffskontrollpunkt für Cloud- und hybride Infrastrukturen — eine erfolgreiche Kompromittierung ermöglicht laterale Bewegung in alle angebundenen Azure-Ressourcen, M365-Dienste und föderierte On-Premises-Systeme. Organisationen mit hybriden Entra-ID-Umgebungen (AAD Connect, Pass-Through Authentication, ADFS-Federation) sind besonders exponiert, da ein Angreifer von der Cloud-Komponente auf On-Premises-Systeme pivotieren kann; diese Umgebungen sollten die Patch-Priorität auf „kritisch/sofort" setzen.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Patch sofort einspielen: Microsoft hat für CVE-2026-69836 einen Patch veröffentlicht — genaue KB-ID und Patchversion bitte im Microsoft Security Response Center (MSRC) Advisory zu CVE-2026-69836 nachschlagen und unverzüglich auf alle betroffenen Microsoft Entra ID-Komponenten anwenden.
  • Angriffsfläche einschränken: Externe Endpunkte von Microsoft Entra ID (insbesondere Authentifizierungs- und Token-Endpunkte) auf bekannte, legitime IP-Bereiche beschränken, sofern dies ohne Betriebsunterbrechung möglich ist; unbekannte Quell-IPs auf Netzwerkebene blockieren.
  • Privilegierte Konten prüfen: Alle Entra-ID-Rollen mit hohen Berechtigungen (Global Administrator, Privileged Role Administrator, Application Administrator) auf unautorisierte Mitglieder oder kürzlich hinzugefügte Service Principals prüfen; verdächtige Einträge sofort deaktivieren.
  • Audit-Logs sichern und exportieren: Entra-ID-Audit- und Sign-in-Logs der letzten 30 Tage in ein unveränderliches SIEM/Log-Archiv exportieren, bevor potenzielle Angreifer Spuren verwischen können.
  • Conditional-Access-Richtlinien verschärfen: Für alle privilegierten Rollen MFA erzwingen und „Compliant Device"-Bedingung aktivieren; Legacy-Authentifizierungsprotokolle (SMTP Auth, Basic Auth) blockieren, falls noch nicht geschehen.
  • Incident-Response-Bereitschaft herstellen: Entra-ID-Tenant-ID, alle registrierten Anwendungen und OAuth-Grants dokumentieren; IR-Team und Microsoft Support (Premier/Unified) in Bereitschaft versetzen.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: Zugriff auf Entra-ID-Management-APIs (graph.microsoft.com, management.azure.com) auf dedizierte Admin-Workstations und Jump-Hosts beschränken; ausgehende Verbindungen aus Produktionssystemen zu diesen Endpunkten über Proxy mit TLS-Inspection leiten.
  • WAF/Reverse-Proxy-Regel: Anfragen mit ungewöhnlich großen oder binär codierten Payloads (Base64-Blöcke > 8 KB, Java-/BinaryFormatter-Signaturen) an Entra-ID-Endpunkte durch WAF-Regel blockieren oder zur Inspektion umleiten — Snort/Suricata-Muster: content:"AAEAAAD"; http_client_body; als Indikator für .NET BinaryFormatter-Streams.
  • Least-Privilege / IAM-Härtung: Service-Principal-Berechtigungen auf das Minimum reduzieren; Application.ReadWrite.All und Directory.ReadWrite.All-Grants auditieren und entfernen, sofern nicht zwingend erforderlich.
  • Conditional Access — Named Locations: Authentifizierungsversuche aus Hochrisiko-Ländern (CISA-Geolocation-Blockliste) blockieren; Entra ID Protection Risk Policy auf „High Risk" = Block setzen.
  • Token-Lebensdauer reduzieren: Access-Token-Lebensdauer auf das Minimum (empfohlen: 1 Stunde) und Refresh-Token-Lebensdauer auf 8 Stunden begrenzen, um das Zeitfenster für gestohlene Token zu minimieren.
  • Monitoring auf App-Registrierungen: Azure Policy oder Defender for Cloud-Regel aktivieren, die neue App-Registrierungen und OAuth-Consent-Grants in Echtzeit alarmiert.

Runbook · Schritt 3

Detection-Regeln

  • Entra-ID-Audit-Log — unerwartete Code-Ausführungsindikatoren: Suche in Entra-ID-Audit-Logs nach operationName: "Add service principal" oder "Add application" kombiniert mit initiatedBy.user = null (d. h. nicht-interaktiver, unauthentifizierter Ursprung) — KQL: AuditLogs | where OperationName in ("Add service principal","Add application") | where InitiatedBy.user == "" and InitiatedBy.app == ""
  • Sign-in-Logs — Anomalie bei Token-Ausstellung: SigninLogs | where ResultType == 0 | where AppDisplayName !in (known_apps) | where IPAddress !in (trusted_ranges) | where AuthenticationRequirement == "singleFactorAuthentication" — Alarm bei erfolgreicher Einzel-Faktor-Authentifizierung für privilegierte Rollen.
  • Microsoft Defender for Cloud Apps / MCAS: Alert-Policy für Impossible Travel und Activity from anonymous IP auf Entra-ID-Administratorkonten aktivieren; Schwellenwert auf 1 Ereignis setzen.
  • Netzwerk-Telemetrie (Zeek/Suricata): HTTP-POST-Anfragen an login.microsoftonline.com oder graph.microsoft.com mit Body-Größe > 50 KB und Content-Type application/octet-stream oder application/x-www-form-urlencoded mit binären Artefakten protokollieren und alarmieren.
  • Sysmon / EDR — Prozessabstammung: Auf Endpunkten, die als Entra-ID-Connector oder AAD Connect-Server fungieren, Sysmon EID 1 überwachen: Kindprozesse von AzureADConnectAuthenticationAgentService.exe oder Microsoft.Identity.*.exe, die cmd.exe, powershell.exe oder wscript.exe spawnen — Sigma-Shape: ParentImage|endswith: 'AzureADConnectAuthenticationAgentService.exe' + Image|endswith: '\cmd.exe'.

Metriken

Severity
critical
Priority-Score
224.26
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
10.0
Quelle: nvd-v3
CVSS v3
10.0
CVSS v4
—
EPSS-Perzentil
73.7 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
1.6 %
Moderat — Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-20 22:18 UTC
CWE
CWE-502

Weakness-Klassen (CWE)

  • CWE-502Base

    Deserialization of Untrusted Data

    The product deserializes untrusted data without sufficiently ensuring that the resulting data will be valid.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. Initial Analysis2026-08-25 16:08 UTC· nvd@nist.gov
    • CPE Configuration: OR *cpe:2.3:a:microsoft:entra_id:-:*:*:*:*:*:*:*
    • Reference Type: Microsoft Corporation: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69836 Types: Vendor Advisory
  2. CVE Modified2026-08-22 04:18 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-69836","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical… → {"id":"CVE-2026-69836","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • microsoft

    entra_id

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

Verknüpfte Empfehlungen

IDCVE-2026-69836