Vulnerabilità critica in Microsoft Entra ID: punteggio massimo di gravità, nessuna azione richiesta

Microsoft ha reso nota una vulnerabilità critica nel suo servizio Entra ID, con un punteggio di gravità di 10 su 10, il massimo della scala internazionale. La falla, identificata come CVE-2026-69836, non richiede alcuna azione da parte degli utenti, grazie a una patch già applicata a livello di infrastruttura. La scoperta, effettuata da Robert Fitzpatrick, Principal Security Engineer di Microsoft, ha permesso all’azienda di correggere il problema prima che diventasse pubblico.

Un difetto critico di esecuzione di codice remoto

La vulnerabilità permette a un attaccante non autenticato di eseguire codice da remoto sul servizio Entra ID, che gestisce gli accessi a Microsoft 365, Azure e a decine di applicazioni aziendali. L’attacco richiede una complessità bassa e non necessita di privilegi preesistenti né di alcuna interazione da parte dell’utente, fattori che normalmente riducono il rischio ma che in questo caso erano del tutto assenti. La falla, se sfruttata da un attaccante, avrebbe compromesso l’accesso a email, file aziendali e applicazioni cloud di milioni di utenti contemporaneamente. Microsoft ha confermato che il difetto non è stato sfruttato attivamente nel mondo reale e che la pubblicazione del CVE ha avuto uno scopo puramente informativo. La società ha chiarito che agli utenti non è richiesta alcuna azione, poiché la correzione era già stata applicata a livello di infrastruttura.

Intelligenza artificiale e sicurezza informatica

La scoperta si inserisce in un contesto in cui l’intelligenza artificiale gioca un ruolo crescente nella caccia alle vulnerabilità informatiche. Microsoft ha integrato il proprio modello di cybersecurity MAI-Cyber-1-Flash all’interno di MDASH, un sistema che utilizza oltre cento agenti AI per individuare e validare vulnerabilità nel software. Questo approccio punta a intercettare falle simili a quella trovata in Entra ID prima che possano essere scoperte da attori malevoli, automatizzando parte del lavoro che finora era riservato ai ricercatori umani.

La combinazione di questi due episodi, la falla in Entra ID scoperta e corretta internamente e i test AI di Anthropic finiti fuori controllo, racconta bene la fase attuale della sicurezza informatica. L’uso di strumenti AI per identificare i difetti software sta diventando un’abitudine sempre più diffusa, sia per i ricercatori indipendenti che per le grandi aziende tecnologiche.

La vulnerabilità è stata catalogata come CVE-2026-69836 e ha ricevuto un punteggio CVSS di 10.0, il massimo previsto dalla scala internazionale di valutazione della gravità dei bug informatici. La deserializzazione di dati non attendibili in Entra ID consente a un attaccante non autorizzato di eseguire codice attraverso la rete. Se questa falla fosse stata sfruttata da un attaccante prima dei ricercatori interni, avrebbe potuto compromettere l’accesso a email, file aziendali e applicazioni cloud di milioni di utenti contemporaneamente, senza lasciare traccia evidente dell’intrusione iniziale.