Microsoft Entra ID RCE Vulnerability entdeckt

Microsoft hat am 20. August 2026 eine Microsoft Entra ID RCE Vulnerability mit Höchstwertung offengelegt und bestätigt, dass die Lücke bereits vor der Veröffentlichung aktiv ausgenutzt wurde. CVE-2026-69836 erreicht einen CVSS-Wert von 10.0, benötigt weder Authentifizierung noch eine Nutzerinteraktion und liegt im Identitäts-Rückgrat unter Microsoft 365, Azure-AD-Anmeldung und Conditional Access — also genau dort, worauf praktisch jede Organisation mit Microsoft-Cloud-Diensten aufbaut. Für Kunden gibt es nichts zu patchen: Microsoft hat den Fix bereits auf der eigenen Infrastruktur ausgerollt.

Was ist passiert

CVE-2026-69836 ist eine Deserialisierungs-Schwachstelle (CWE-502) in Entra ID: Verarbeitet der Dienst ein speziell präpariertes, serialisiertes Datenobjekt aus einer nicht vertrauenswürdigen Quelle, lässt er sich dazu bringen, beliebigen Code über das Netzwerk auszuführen — ohne Konto und ohne jede Interaktion eines Opfers. Microsoft nennt den eigenen Principal Security Engineer Robert Fitzpatrick als Entdecker. Diese Microsoft Entra ID RCE Vulnerability fällt in Microsofts Kategorie „Cloud Service CVE“: Da Entra ID eine vollständig verwaltete Plattform ist, hat Microsoft den Fix bereits serverseitig ausgerollt. Es gibt kein Update-Paket, keinen KB-Artikel und keine Konfigurationsänderung, die Administratoren vornehmen müssten.

Ungewöhnlich ist vor allem, was Microsoft nicht mitgeteilt hat. Das Unternehmen bestätigt aktive Ausnutzung vor der Offenlegung, nennt aber weder einen Angreifer noch einen Ausnutzungsbeginn, keine Schätzung zur Anzahl betroffener Mandanten und keine veröffentlichten Kompromittierungsindikatoren. Der Fund folgt nur zwei Tage auf CISAs Sammel-Update vom 18. August mit vier neuen KEV-Einträgen (SharePoint, VMware vCenter, Windows IKE, macOS Screen Sharing) und ist damit die fünfte aktiv ausgenutzte, maximal oder nahezu maximal bewertete Schwachstelle in einem Acht-Tage-Fenster.

Warum das wichtig ist

Bei einer On-Premises-Schwachstelle lässt sich „Haben wir gepatcht?“ mit einer KB-Nummer, einer Versionskennung oder einem Scan-Ergebnis beantworten. Bei einem vollständig verwalteten Cloud-Identitätsdienst gibt es diese Checkliste nicht. Entra ID trägt die Authentifizierung für Microsoft 365, Azure-AD-Conditional-Access und Single Sign-on in die meisten Drittanbieter-SaaS-Lösungen, die ein deutscher Mittelstandsbetrieb einsetzt — eine Schwachstelle mit Höchstwertung ist dort faktisch ein Supply-Chain-Ereignis auf Identitätsebene, und Organisationen haben keine unabhängige Möglichkeit zu bestätigen, dass Microsofts Fix tatsächlich jeden gegen den eigenen Mandanten genutzten Ausnutzungsweg geschlossen hat. Die einzige verfügbare Evidenz ist Microsofts eigene Aussage sowie das, was die eigene Protokollierung im Expositionsfenster erfasst hat.

Was Sie jetzt tun sollten

1. Prüfen Sie das Message Center im Microsoft-365-Admin-Center auf mandantenspezifische Sicherheitshinweise zu CVE-2026-69836 — ein Patch ist nicht erforderlich, aber Microsoft kann mandantenbezogene Indikatoren markieren.
2. Ziehen Sie Entra-ID-Anmelde-, Audit- und Anwendungs-/Service-Principal-Änderungsprotokolle für mindestens die zwei Wochen vor dem 20. August und prüfen Sie auf Auffälligkeiten, da noch keine öffentlichen Kompromittierungsindikatoren existieren.
3. Überprüfen Sie jeden kürzlich erstellten oder geänderten Service Principal, jede App-Registrierung und jede OAuth-Admin-Consent-Freigabe; eine RCE im Identitäts-Backend ist ein plausibler Weg zu einer dauerhaften, schwer erkennbaren Hintertür statt eines einmaligen Vorfalls.
4. Verschärfen Sie Conditional Access unabhängig von dieser konkreten Schwachstelle: Legacy-Authentifizierung blockieren, MFA auf jeder Risikostufe erzwingen und Alarmierung bei privilegierten Rollen- und Service-Principal-Änderungen einrichten.

Zeigt eine der genannten Prüfungen unerklärliche Aktivität, behandeln Sie dies als priorisierten Incident-Response-Fall — auch ohne herstellerseitig veröffentlichte Indikatoren. Das Fehlen öffentlicher IOCs spiegelt Microsofts Offenlegungsentscheidung wider, nicht das Fehlen von Risiko.

DIESEC Einschätzung

Das ist das bislang schärfste Beispiel eines Musters, das wir bei verwalteten Cloud-Diensten beobachten: Das klassische Patch-Tuesday-Modell setzt voraus, dass der Kunde den Fix kontrolliert und dessen Anwendung nachweisen kann. Eine vollständig verwaltete Identitätsplattform kehrt das um — Microsoft kann eine Schwachstelle mit Höchstwertung über Nacht schließen, doch dem Kunden bleibt kein Nachweis für eine Prüfung außer dem Wort des Herstellers und der eigenen Protokollaufbewahrung. Für NIS2-regulierte Unternehmen ist das eine Governance-Lücke, die es zu dokumentieren gilt, bevor der nächste Vorfall eintritt — nicht danach.

Nicht sicher, ob Ihre Conditional-Access-Richtlinien und Ihre Entra-ID-Protokollierung einen solchen Vorfall überhaupt erkennen würden? Kontaktieren Sie DIESEC für eine schnelle Identity-Konfigurationsprüfung und Conditional-Access-Review.

Quellen: BleepingComputer | The Hacker News
Veröffentlicht: 2026-08-24 | Kategorie: Tägliche News | ~4 Min. Lesezeit