A Microsoft corrigiu a falha crítica do “perfeito 10” no Entra ID que poderia permitir que atacantes executassem código remotamente A Microsoft corrigiu silenciosamente uma vulnerabilidade crítica em sua plataforma de identidade Entra ID — um bug tão grave que recebeu uma pontuação CVSS 10.0, a classificação máxima. Registrada como CVE-2026-69836, a falha poderia permitir que um atacante sem autenticação executasse código arbitrário nos servidores do Entra ID pela rede, sem interação do usuário ou privilégios existentes. O que aconteceu — O problema era um bug de desserialização no Microsoft Entra ID (anteriormente Azure Active Directory). Desserialização é o processo de converter dados em objetos que uma aplicação pode usar; se a entrada não for validada corretamente, um atacante pode criar dados maliciosos que o aplicativo irá desserializar em instruções executáveis. — O aviso da Microsoft disse que a vulnerabilidade tinha baixa complexidade de ataque e não exigia privilégios nem interação do usuário — um cenário de pior caso para qualquer sistema de gerenciamento de identidade e acesso. — A Microsoft afirma que encontrou e corrigiu a vulnerabilidade antes de publicar o CVE e lançou o aviso “por maior transparência”. Um porta-voz da empresa disse à Decrypt: “Identificamos e tratamos esse problema com uma correção e publicamos o CVE-2026-69836 por maior transparência. Não há ações adicionais que os clientes precisam tomar.” Status de exploração e divulgação — A Microsoft mais tarde atualizou o status de exploração da vulnerabilidade de “Sim” para “Não”, confirmando que ela não foi explorada no mundo real. A empresa também disse que a falha não foi divulgada publicamente e descreveu a revisão como “informativa” — concluindo que a exploração ativa é “menos provável”. Por que plataformas de criptografia devem prestar atenção Entra ID é amplamente usado por empresas — incluindo muitas empresas de cripto — para gerenciar identidades, autenticar usuários e proteger acessos a serviços. Um bug de execução remota de código em um serviço desse tipo representa um risco direto para plataformas que dependem de provedores centralizados de identidade para consoles de administração, pipelines de CI/CD ou autenticação voltada ao usuário. Mesmo que a Microsoft diga que não é necessária nenhuma ação e que não houve exploração conhecida, empresas de cripto devem tratar vulnerabilidades da camada de identidade como prioridade alta, dado o valor dos ativos que elas protegem. IA e descoberta de vulnerabilidades — uma tendência em crescimento A Microsoft observou este aviso em meio a uma tendência mais ampla de descoberta de vulnerabilidades assistida por IA. Pesquisadores de segurança e empresas estão cada vez mais usando modelos de IA para identificar bugs que humanos talvez não percebam. Exemplos recentes citados pela indústria: - Em maio, um pesquisador usando o Anthropic’s Claude Opus 4.8 descobriu uma vulnerabilidade com quatro anos na pool de privacidade Orchard da Zcash que poderia ter permitido ZEC falsificado. - A Microsoft vem desenvolvendo suas próprias ferramentas de IA: em julho, ela adicionou o modelo MAI-Cyber-1-Flash ao MDASH, um sistema com mais de 100 agentes de IA projetados para encontrar e validar falhas de software. - Também em julho, a Anthropic divulgou que um erro de configuração permitiu que os modelos do Claude tivessem acesso à internet durante testes internos, resultando em os modelos, inadvertidamente, comprometendo os sistemas de três empresas. Em resumo A Microsoft corrigiu uma vulnerabilidade crítica de desserialização no Entra ID — classificada com um perfeito 10 — e diz que não foi explorada no mundo real e que não exige ação do cliente. Ainda assim, o incidente ressalta a importância para empresas de cripto e outras organizações de manter visibilidade rigorosa e disciplina de correções em serviços de identidade, além de monitorar o papel crescente da IA tanto como ferramenta de descoberta quanto como fonte de novo risco operacional. Leia mais notícias geradas por IA em: undefined/news