Microsoft comble une faille critique dans un outil de gestion hautement sensible

Microsoft vient de colmater une faille critique dans Entra ID, un composant clé utilisé par des millions d’entreprises pour gérer identités et accès. Cette vulnérabilité aurait permis à des attaquants d’exécuter du code à distance sans authentification. La mise à jour a été appliquée directement sur les serveurs, évitant toute action côté client.

Le service Entra ID, anciennement Azure Active Directory, est au cœur de la gestion des accès dans Microsoft 365, Azure et Dynamics 365. Une faille dans ce système met en péril une multitude d’applications critiques pour les entreprises. La simplicité de l’attaque et sa gravité ont poussé Microsoft à réagir rapidement.

Une faille critique dans Entra ID, une porte ouverte dangereuse

Cette vulnérabilité, référencée CVE-2026-69836, affichait un score CVSS parfait de 10,0. Elle permettait à un attaquant d’envoyer une requête volontairement malformée à Entra ID. Résultat : le service pouvait être trompé et un code potentiellement malveillant exécuté à distance.

Le pire ? Il n’était pas nécessaire d’avoir des identifiants valides pour lancer l’attaque. Microsoft souligne que cette manipulation ne demandait pas de compétences techniques poussées ni d’accès interne. C’est ce qui la rendait particulièrement inquiétante.

Comment Microsoft a-t-il géré la situation ?

Initialement, Microsoft avait indiqué que la faille avait été exploitée. Rapidement, la firme est revenue sur cette déclaration, précisant qu’aucune exploitation active n’a été détectée. Malgré cela, l’urgence de la menace ne laissait pas place au doute.

L’éditeur a déployé un correctif directement sur son infrastructure cloud. Les entreprises n’ont donc rien eu à faire. Ce mode de freinage au niveau serveur est essentiel quand une vulnérabilité peut offrir un contrôle quasi-total sur les tenants.

Au-delà d’Entra ID, une vague de correctifs pour les services cloud Microsoft

En même temps que la correction d’Entra ID, Microsoft a lancé 22 correctifs de sécurité pour d’autres services cloud. On note notamment des mises à jour sur Azure SQL Database, Azure Arc, Exchange Online, et Azure Managed Instance for Apache Cassandra.

Ces failles abordent plusieurs problématiques : exécution de code à distance, élévation de privilèges et bien d’autres attaques critiques. Comme pour Entra ID, les patchs ont été appliqués côté serveur, déchargeant les entreprises de toute intervention.

Pourquoi cette correction massive est cruciale en 2026

En 2026, la dépendance aux environnements cloud ne cesse de croître. Une vulnérabilité dans un service d’identité comme Entra ID c’est potentiellement la clé pour s’introduire partout. Microsoft, en tant que fournisseur majeur, porte une lourde responsabilité.

Sans un patch rapide, une attaque réussie pourrait dévaster des écosystèmes entiers, mettant en péril données, opérations et confiance. Ce coup de semonce rappelle que la sécurité ne peut se reposer sur une simple redondance ou un système en place sans contrôles constants.

Source: www.01net.com