Die neue Lücke in Entra ID reiht sich in eine Serie schwerwiegender Cloud-Schwachstellen ein, die Microsoft in kurzer Folge behoben hat. In der Sicherheitsmitteilung heißt es, die Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Entra ID erlaube einem unbefugten Angreifer die Codeausführung über ein Netzwerk. Ergänzend betont der Konzern: Die Schwachstelle sei bereits vollständig durch Microsoft entschärft worden, Nutzer des Dienstes müssten nichts tun, der Zweck des CVE-Eintrags sei zusätzliche Transparenz.
Einen Tag vor dem Entra-ID-Hinweis hatte Microsoft vier weitere Schwachstellen mit maximalem Schweregrad geschlossen. Drei davon erlaubten nicht authentifizierten Angreifern eine Rechteausweitung über das Netzwerk: CVE-2026-65816 und CVE-2026-69555 betrafen Azure Arc, CVE-2026-65801 Exchange Online. Die vierte Lücke, CVE-2026-65770, ermöglichte die Ausführung von Schadcode auf einer Azure Managed Instance for Apache Cassandra.
Entra ID stand schon zuvor im Fokus. Im September 2025 hatte Microsoft eine kritische Schwachstelle zur Rechteausweitung in der Plattform behoben (CVE-2025-55241), die vom Sicherheitsforscher Dirk-jan Mollema von Outsider Security gemeldet worden war. Sie hätte es Angreifern erlaubt, vollständigen Zugriff auf den Microsoft-Entra-ID-Tenant jedes Unternehmens weltweit zu erlangen.
Parallel dazu hat die US-Cybersicherheitsbehörde CISA eine kritische Schwachstelle zur Codeausführung in den Internet-Key-Exchange-Diensterweiterungen (IKE) von Windows als aktiv ausgenutzt eingestuft.
Dass Microsoft eine Lücke im eigenen Cloud-Dienst überhaupt mit einer CVE-Nummer versieht, obwohl Kunden keine Aktion durchführen können, folgt der von dem Unternehmen erklärten Transparenzlinie. Für Betreiber bleibt damit als einzige belastbare Information, dass Angriffe stattgefunden haben – nähere Angaben zu Umfang, Zeitraum oder betroffenen Tenants machte Microsoft nicht.