CVE-2026-69836 Entra ID Schwachstelle: Die CVSS-10,0-RCE ohne Patch, aber mit viel zu untersuchen

CVE-2026-69836 Entra ID Schwachstelle: Was Passiert Ist und Warum Es Wichtig Ist

Am 20. August 2026 veröffentlichte Microsoft eine Advisory für CVE-2026-69836, eine Schwachstelle in Microsoft Entra ID, die den perfekten CVSS-Wert von 10,0 erreichte. Der offizielle Titel ist unmissverständlich: „Microsoft Entra ID Remote Code Execution Vulnerability". Laut Microsofts eigener Advisory liegt die Ursache in der Deserialisierung nicht vertrauenswürdiger Daten, und die Auswirkung ist Remotecodeausführung durch einen unauthentifizierten Angreifer über das Netzwerk — keine Zugangsdaten, keine Benutzerinteraktion, keine Voraussetzung an bestehendem Zugriff.

Für den Identitätsanbieter eines Mandanten ist diese Kombination so schlimm, wie eine Bewertung nur sein kann. Entra ID ist die Kontrollebene, die jeden Token ausstellt, jede Conditional-Access-Richtlinie auswertet und jede privilegierte Rollenaktivierung in einer Microsoft-365- oder Azure-Umgebung freigibt. Eine Remotecodeausführungs-Schwachstelle in dieser Kontrollebene, erreichbar ohne Authentifizierung, ist auf dem Papier ein Fünf-Alarm-Befund.

Doch dies ist auch eine Cloud-Service-CVE, und das ändert die Spielregeln. Es gibt keinen herunterladbaren Patch, keinen KB-Artikel und kein Wartungsfenster. Microsoft hat den verwundbaren Code serverseitig behoben, bevor die meisten Verteidiger die Advisory überhaupt gesehen hatten. Genau diese Tatsache — nichts zu installieren — macht diese CVE zu einer, die eine genaue Lektüre verdient, statt nur überflogen zu werden.

Innerhalb der Schwachstelle: CWE-502 Deserialisierung und ein Perfekter CVSS-Wert

Microsoft klassifiziert CVE-2026-69836 unter CWE-502, Deserialization of Untrusted Data. Vereinfacht gesagt: Irgendwo im Entra-ID-Dienst wurden eingehende Daten wieder in aktive Objekte umgewandelt, ohne ausreichend zu prüfen, woher diese Daten stammten oder was sie enthielten. Deserialisierungsfehler sind eine bekannte Klasse von Remote-Code-Execution-Primitiven — Angreifer erstellen eine bösartige serialisierte Payload, die, einmal vom verwundbaren Code rekonstruiert, beliebige Logik ausführt, anstatt lediglich eine Datenstruktur wiederherzustellen. Es ist dieselbe Fehlerfamilie hinter einigen der schädlichsten Java- und .NET-RCEs des letzten Jahrzehnts, und jetzt hat sie einen Entra-ID-Eintrag.

Der von Microsoft veröffentlichte CVSS-3.1-Basisvektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Von links nach rechts gelesen, maximiert jede Metrik den Schweregrad: AV:N (Angriffsvektor: Netzwerk — über das Internet erreichbar), AC:L (Angriffskomplexität: gering — keine besonderen Bedingungen erforderlich), PR:N (erforderliche Berechtigungen: keine — unauthentifiziert), UI:N (Benutzerinteraktion: keine), S:C (Geltungsbereich: geändert — die Schwachstelle betrifft Ressourcen über die verwundbare Komponente hinaus) und C:H/I:H/A:H (hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit). Diese Kombination ergibt den Basiswert von 10,0. Microsofts temporärer Wert liegt bei 8,7, was die drei temporären Metriken widerspiegelt, die dem gleichen Vektorstring angehängt werden — E:U (Reife des Exploit-Codes: unbewiesen), RL:O (Behebungsgrad: offizieller Fix) und RC:C (Meldungssicherheit: bestätigt) — aufgesetzt auf die unauthentifizierte Netzwerk-RCE.

Das Ausnutzungs-Hin-und-Her: Was Microsoft Korrigierte — und Warum Das Wichtiger Ist Als Der Wert

Hier liegt das Detail, das diese CVE wirklich lehrreich macht statt nur eine weitere Schlagzeile mit kritischem Schweregrad: Die eigene Revisionshistorie von Microsofts Advisory zeigt, dass sich der Ausnutzungsstatus bereits am nächsten Tag änderte.

• Revision 1.0 — 20. August 2026: „Informationen veröffentlicht."
• Revision 1.1 — 21. August 2026: „Exploited von Ja auf Nein korrigiert. Diese Schwachstelle wurde nicht in freier Wildbahn ausgenutzt. Dies ist lediglich eine informative Änderung."

Mehrere Medien, die die Offenlegung am 21. August behandelten — darunter Help Net Security, The Hacker News und The Register — berichteten über die CVE zu einem Zeitpunkt, als ihr Ausnutzungsstatus noch in der Schwebe war, bevor Microsoft ihn als „Exploited: No" festschrieb. Insbesondere The Register merkte an, dass Microsoft die Korrektur als „nur informativ" charakterisierte und dass nirgendwo technische Details einer tatsächlichen Angriffskette veröffentlicht wurden.

Microsofts aktuelle, korrigierte Position, direkt aus dem Feld „Exploit Status" der Advisory, lautet:

Publicly Disclosed: No
Exploited: No
Latest Software Release: Exploitation Less Likely

Warum Es Keinen Patch Zum Einspielen Gibt — und Warum Das Nicht Dasselbe Ist Wie „Nichts Zu Tun"

Microsofts FAQ zu CVE-2026-69836 ist beim Behebungsmodell eindeutig: „Diese Schwachstelle wurde bereits vollständig von Microsoft entschärft. Für Nutzer dieses Dienstes ist keine Handlung erforderlich. Der Zweck dieser CVE ist es, weitere Transparenz zu schaffen." Die Advisory verlinkt auf Microsofts eigene Erklärung, warum Cloud-Service-CVEs so funktionieren, „Toward greater transparency: Unveiling Cloud Service CVEs" (aka.ms/MSRC-Cloud-CVEs).

Das ist ein legitimes und zunehmend verbreitetes Modell für SaaS-Kontrollebenen: Microsoft besitzt den Code, Microsoft besitzt den Fix, und die CVE existiert einzig, damit die Branche einen öffentlichen Nachweis hat, dass eine kritische Schwachstelle existierte und geschlossen wurde. Der für den Fund anerkannte Forscher, Robert Fitzpatrick, wird in Microsofts eigener Advisory als gemeinsam mit Microsoft meldend aufgeführt — dies wurde intern entdeckt und geschlossen, nicht von einem externen Red Team, das einen funktionierenden Exploit veröffentlicht.

Nichts davon löscht die Tatsache aus, dass für ein gewisses Zeitfenster eine unauthentifizierte, netzwerkerreichbare RCE-Primitive im Identitätsanbieter existierte. „Vollständig entschärft" beschreibt die Schwachstelle für die Zukunft. Es sagt nichts darüber aus, was während des offenen Zeitfensters geschehen sein könnte oder nicht — und während Microsoft unumwunden erklärt, dass die Schwachstelle „nicht in freier Wildbahn ausgenutzt wurde", veröffentlicht es weder die Beweise noch den Umfang hinter dieser Schlussfolgerung.

Erkennung: Jagen, Wenn Keine Angriffskette Veröffentlicht Wurde

Das ist der unangenehme Teil: Microsoft hat keine IOCs, keine CVE-spezifische Erkennungsregel und keine Beschreibung veröffentlicht, wie ein Ausnutzungsversuch gegen diese Schwachstelle aussehen würde. Es gibt nichts, wogegen man signaturbasiert abgleichen könnte. Das bedeutet nicht, dass die Jagd sinnlos ist — es bedeutet, dass die Jagd aus dem aufgebaut werden muss, was eine erfolgreiche Entra-ID-RCE plausibel berühren würde, nicht aus einem vom Hersteller bereitgestellten Playbook.

Warum Protokollaufbewahrung Zuerst Kommt

Bevor irgendetwas davon möglich ist, benötigt Ihr Mandant Protokolle, die das Zeitfenster tatsächlich abdecken. Wenn die Aufbewahrungsdauer Ihrer Entra-ID-Überwachungsprotokolle kurz ist, ist diese gesamte Übung für alles, was mehr als ein paar Tage zurückliegt, hinfällig.

Rohdaten Abrufen

# Anmeldeprotokolle für das Offenlegungs-/Korrekturfenster abrufen (UTC-Zeitstempel).
# Erfordert die Berechtigung AuditLog.Read.All. Die Leerzeichen innerhalb von $filter müssen
# prozentkodiert werden: curl lehnt eine URL mit rohen Leerzeichen ab, bevor überhaupt etwas gesendet wird.
curl -H "Authorization: Bearer $TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$filter=createdDateTime%20ge%202026-08-19T00:00:00Z%20and%20createdDateTime%20le%202026-08-22T00:00:00Z"

Speisen Sie die Ausgabe in den Anomalie-Überprüfungsprozess ein, den Sie bereits für Anmeldedaten betreiben — der Punkt ist keine magische Abfrage, sondern sicherzustellen, dass das Zeitfenster überhaupt abfragbar ist.

Behebung: Eine Checkliste Kompensierender Kontrollen, Kein Patch

Es gibt keinen Herstellerpatch für CVE-2026-69836 einzuspielen. Was Sie tun können, ist sicherzustellen, dass die Kontrollen, die die Folgen einer Kompromittierung des Identitätsanbieters erfassen würden — diese oder die nächste — tatsächlich aktiviert sind.

Identity Protection und Conditional Access

1. Aktivieren Sie eine Anmelderisiko-Richtlinie in Identity Protection. Ohne eine solche berechnet Entra ID Risikosignale, aber nichts reagiert darauf.
2. Untermauern Sie sie mit einer risikobasierten Conditional-Access-Richtlinie, die die Authentifizierung verschärft oder den Zugriff blockiert, wenn das Anmelderisiko erhöht ist, anstatt sich allein auf den Risikowert zu verlassen. Siehe unsere Aufschlüsselung häufiger Lücken in der Conditional-Access-Basisabdeckung für ein vollständiges Bild eines kompletten Richtliniensatzes.
3. Aktivieren Sie automatisierte Risikoreaktionen, damit riskante Sitzungen nahezu in Echtzeit bearbeitet werden, statt auf einen manuellen Überprüfungszyklus zu warten — mehr dazu in unserem Leitfaden zu Entra ID Identity Protection Risikorichtlinien.

Protokollierung und Fortlaufende Überprüfung

4. Erweitern Sie die Aufbewahrung der Überwachungsprotokolle auf ein Zeitfenster, das tatsächlich rückblickende Jagd unterstützt, nicht nur die tägliche Fehlerbehebung. Unser Beitrag zu Entra-ID-Protokollierung, Aufbewahrung und Diagnoseeinstellungen behandelt die praktische Konfiguration.
5. Überprüfen Sie hochprivilegierte Dienstprinzipale und deren Anmeldeaktivität auf alles Unerwartete rund um das Offenlegungsfenster — unser Artikel zur Erkennung von Anmeldeanomalien bei Dienstprinzipalen geht durch, wie eine Workload-Identity-Baseline aussieht.
6. Abonnieren Sie MSRC-Advisory-Update-Benachrichtigungen. Der Ausnutzungsstatus dieser CVE änderte sich einen Tag nach der Veröffentlichung — wenn Sie nur die Schlagzeile vom Tag der Offenlegung gelesen haben, haben Sie die Korrektur verpasst.

Dies ist nicht die erste Entra-ID-CVE in diesem Jahr, die mit „keine Kundenaktion erforderlich" ausgeliefert wurde. Wir haben dasselbe Muster ohne Patch in CVE-2026-62869, einer Entra-ID-Spoofing-Schwachstelle, behandelt, und erneut bei CVE-2026-50481, einer Azure-Active-Directory-Rechteausweitungsschwachstelle — einer CVSS 9,9, die ebenfalls mit einer leeren Behebungsliste und Customer Action Required: No ausgeliefert wurde. Das Muster wird zur Routine: Microsoft liefert den Fix, und das Einzige, was den Mandanten bleibt, ist zu entscheiden, wie genau sie rückblickend hinschauen.

Wie EtcSec Dies Erkennt

EtcSecs Azure-Audit erkennt nicht — und kann nicht — die Ausnutzung einer serviceseitigen CVE wie CVE-2026-69836 erkennen; diese Sichtbarkeit liegt vollständig innerhalb von Microsofts eigener Infrastruktur. Was es prüft, sind genau die Lücken, die einen solchen Vorfall zu einem blinden Fleck machen: ob überhaupt eine Anmelderisiko-Richtlinie existiert, ob dieses Risiko durch eine risikobasierte Conditional-Access-Richtlinie abgesichert ist, ob Risikoreaktionen automatisiert statt manuell erfolgen, ob die Aufbewahrung der Überwachungsprotokolle lang genug ist, um eine rückblickende Jagd zu unterstützen, und ob Dienstprinzipale administrative Berechtigungen ohne laufende Überprüfung besitzen.