A Microsoft divulgou uma vulnerabilidade crítica em sua plataforma de identidade Entra ID que poderia permitir que um invasor não autorizado executasse código remotamente sem privilégios existentes ou interação do usuário.
Rastreável como CVE-2026-69836, a vulnerabilidade recebeu uma pontuação CVSS de 10.0, a classificação mais alta possível. A falha afeta o Microsoft Entra ID, o serviço de gerenciamento de identidade e acesso baseado em nuvem da empresa, anteriormente conhecido como Azure Active Directory.
O aviso de segurança da Microsoft afirma que a vulnerabilidade pode ser explorada por meio de uma rede com baixa complexidade de ataque e não requer privilégios ou interação do usuário.
A desserialização converte dados em um formato que um aplicativo pode usar. Se o aplicativo não validar esses dados corretamente, um invasor poderá manipulá-los para executar código malicioso.
A Microsoft disse que identificou e corrigiu a vulnerabilidade antes de publicar o CVE.
“Identificamos e resolvemos este problema com uma correção e lançamos o CVE-2026-69836 para maior transparência”, disse um porta-voz da Microsoft à Decrypt em um comunicado. “Não há ações adicionais que os clientes precisem tomar.”
A Microsoft disse que pesquisadores posteriormente corrigiram o status de exploração da vulnerabilidade de “Sim” para “Não”, confirmando que não foi explorada em campo e chamando a revisão de “apenas uma mudança informativa”. A empresa afirma que a falha não foi divulgada publicamente e a exploração é “menos provável”.
A inteligência artificial tem desempenhado um papel crescente na descoberta de vulnerabilidades de segurança, com pesquisadores e empresas de tecnologia usando sistemas de IA para identificar falhas que, de outra forma, poderiam passar despercebidas.
Em maio, um pesquisador de segurança usando o Claude Opus 4.8 da Anthropic descobriu uma vulnerabilidade de quatro anos no pool de privacidade Orchard da Zcash que poderia ter permitido a um invasor criar ZEC falsos.
A Microsoft também tem desenvolvido ferramentas de IA para descoberta de vulnerabilidades. Em julho, a empresa adicionou seu modelo de segurança cibernética MAI-Cyber-1-Flash ao MDASH, um sistema que usa mais de 100 agentes de IA para encontrar e validar vulnerabilidades de software.
No mesmo mês, a Anthropic divulgou que os modelos Claude comprometeram três empresas durante testes internos de segurança cibernética depois que um erro de configuração concedeu aos modelos acesso à internet.
