Отворих записа на Microsoft два пъти за два дни. Второто отваряне казваше друго.
На 20 август Microsoft публикува CVE-2026-69836 - критична дупка в Entra ID, услугата, през която милиони организации се логват в облака му. Базовата оценка е 10.0, максималната по скалата. В същия запис имаше поле „експлоатирана" със стойност „да", и оттам тръгнаха заглавията за перфектната десетка под атака.
На 21 август излезе ревизия 1.1 на същия запис. Дословно: полето е поправено на „не", уязвимостта не е била експлоатирана в реална среда, промяната е само информационна.
Факт
Фактите: CVE-2026-69836 е десериализация на непроверени данни (CWE-502) в Microsoft Entra ID, която позволява на неоторизиран нападател да изпълни код по мрежата. Microsoft я публикува на 20 август 2026 г., оценява я като критична с базова стойност 10.0 по CVSS 3.1 и временна 8.7, а кодът за експлоатация е отбелязан като непотвърден. В отговорите към записа Microsoft пише, че уязвимостта вече е изцяло смекчена от негова страна, че за потребителите на услугата няма действие и че смисълът на номера е прозрачност. Публично разгласяване преди бюлетина: не. На 21 август 2026 г. ревизия 1.1 поправя полето „експлоатирана" на „не" с текста, че дупката не е била използвана в реални атаки. В каталога на CISA за известни експлоатирани уязвимости (версия 2026.08.21) този номер не присъства. Първоизточник: записът в Security Update Guide на MSRC.
Какво значи 10.0 точно тук
Десериализацията на непроверени данни е стар и много досаден клас грешка. Услугата получава пакет данни отвън, разопакова го и докато го разопакова, му позволява да се превърне в жив обект в паметта. Нагласен ли е пакетът, се изпълнява чужд код. Без парола, през мрежата.
Entra ID е вратата. През нея се влиза в Microsoft 365, в Azure и във вътрешните приложения на голяма част от корпоративния свят. Затова оценката е такава: отвори ли се тази врата, зад нея няма втора.
Оценката 10.0 казва колко тежко би било. Не казва, че се е случило.
Защо изобщо ти го казват
От 2024 г. Microsoft издава CVE номера и за дупки в собствените си облачни услуги, включително когато клиентът няма какво да закърпи. Този запис е точно такъв. Кръпката е тяхна, направена е, ти нямаш ход. Как е била използвана дупката и дали изобщо е стигала до данни, не се казва никъде.
Харесвам този ход и смятам, че повечето доставчици на облак трябва да го копират. Само че прозрачността носи и едно задължение: полетата в записа да са верни от първия път. Едно поле, сгрешено за един ден, вдигна на крак хора, които така или иначе нямаха какво да направят.
На 21 август The Register излезе със заглавие, че перфектната десетка в Entra ID е под атака. Нямам какво да им търся. Бюлетинът го пишеше.
Каквото си взимам оттук, е практично. Отбелязал ли си тази дупка за спешна работа в понеделник, зачеркни я. И преди да вдигнеш човек посред нощ заради едно поле в бюлетин, погледни номера на ревизията и датата до него. Записите се поправят. Заглавията не.
Източници
MSRC Security Update Guide - CVE-2026-69836 (Microsoft Entra ID Remote Code Execution Vulnerability)MSRC блог - Toward greater transparency: Unveiling Cloud Service CVEsCISA - Known Exploited Vulnerabilities CatalogThe Register (21.08.2026) - заглавието, тръгнало по непоправеното полеВизуалът към статията е генериран код-арт, без чужди изображения.