Microsoft mengungkapkan kerentanan kritis dalam platform identitas Entra ID-nya yang dapat memungkinkan penyerang tidak sah untuk mengeksekusi kode dari jarak jauh tanpa hak istimewa yang ada atau interaksi pengguna.

Dilacak sebagai CVE-2026-69836, kerentanan tersebut menerima skor CVSS 10.0, peringkat tertinggi yang mungkin. Cacat ini memengaruhi Microsoft Entra ID, layanan manajemen identitas dan akses berbasis cloud perusahaan yang sebelumnya dikenal sebagai Azure Active Directory.

Peringatan keamanan Microsoft menyatakan bahwa kerentanan tersebut dapat dieksploitasi melalui jaringan dengan kompleksitas serangan yang rendah dan tidak memerlukan hak istimewa atau interaksi pengguna.

Deserialisasi mengubah data menjadi format yang dapat digunakan aplikasi. Jika aplikasi tidak memvalidasi data tersebut dengan benar, penyerang dapat memanipulasinya untuk mengeksekusi kode berbahaya.

Microsoft mengatakan telah mengidentifikasi dan memperbaiki kerentanan tersebut sebelum menerbitkan CVE.

“Kami mengidentifikasi dan menangani masalah ini dengan perbaikan dan merilis CVE-2026-69836 untuk transparansi yang lebih besar,” kata seorang juru bicara Microsoft kepada Decrypt dalam sebuah pernyataan. “Tidak ada tindakan tambahan yang perlu diambil pelanggan.”

Microsoft mengatakan para peneliti kemudian mengoreksi status eksploitasi kerentanan dari “Ya” menjadi “Tidak,” mengonfirmasi bahwa itu tidak dieksploitasi secara luas dan menyebut revisi itu sebagai “perubahan informasional saja.” Perusahaan mengatakan cacat tersebut tidak diungkapkan secara publik, dan eksploitasi “kurang mungkin.”

Kecerdasan buatan telah memainkan peran yang semakin meningkat dalam menemukan kerentanan keamanan, dengan peneliti dan perusahaan teknologi menggunakan sistem AI untuk mengidentifikasi cacat yang mungkin tidak terdeteksi.

Pada bulan Mei, seorang peneliti keamanan menggunakan Claude Opus 4.8 dari Anthropic menemukan kerentanan berusia empat tahun di kolam privasi Orchard Zcash yang bisa memungkinkan penyerang untuk membuat ZEC palsu.

Microsoft juga telah mengembangkan alat AI untuk penemuan kerentanan. Pada bulan Juli, perusahaan menambahkan model keamanan siber MAI-Cyber-1-Flash-nya ke MDASH, sistem yang menggunakan lebih dari 100 agen AI untuk menemukan dan memvalidasi kerentanan perangkat lunak.

Pada bulan yang sama, Anthropic mengungkapkan bahwa model Claude membahayakan tiga perusahaan selama pengujian keamanan siber internal setelah kesalahan konfigurasi memberi model akses ke internet.