Microsoft Corrige Falha Crítica no Entra ID que Permitia Execução Remota de Código

Esta vulnerabilidade crítica, CVE-2026-69836, atinge o Entra ID, o serviço de identidade e acesso na nuvem da Microsoft, anteriormente conhecido como Azure Active Directory. Com um CVSS de 10.0, a falha permite a execução remota de código (RCE) sem qualquer autenticação ou interação do usuário. É uma vulnerabilidade de desserialização, onde o aplicativo não valida corretamente os dados recebidos, permitindo a injeção de código malicioso.

A desserialização é um ponto de falha recorrente em diversas aplicações. A conversão de dados de um formato serializado para um objeto em memória, quando mal gerenciada, abre portas para atacantes. No caso do Entra ID, a exploração dessa falha significaria um comprometimento total do sistema de identidade, a porta de entrada para recursos e dados de milhares de organizações. A Microsoft agiu rápido para corrigir o problema, antes mesmo de qualquer exploração conhecida em campo.

Uma falha de RCE sem autenticação no Entra ID é um cenário de pesadelo para qualquer equipe de segurança. Este serviço é o coração da gestão de identidade e acesso para empresas que utilizam a nuvem Microsoft. Comprometer o Entra ID é como obter as chaves-mestras para toda a infraestrutura de uma organização. A alta criticidade, com CVSS 10.0, sublinha a severidade do risco.

A correção rápida da Microsoft e a confirmação de que a vulnerabilidade não foi explorada ativamente são boas notícias. Contudo, incidentes recentes, como a falha "CosmosEscape" no Azure Cosmos DB (noticiada em 31 de julho de 2026) e as falhas zero-day no SharePoint (alerta da CISA em 5 de julho de 2026), reforçam a necessidade de vigilância constante em plataformas de nuvem. Administradores devem priorizar a aplicação imediata desta atualização.