Microsoft waarschuwt organisaties voor een kritiek lek in Entra ID. Aanvallers misbruikten deze kwetsbaarheid actief voordat er een oplossing beschikbaar kwam. Het beveiligingslek kreeg de aanduiding CVE-2026-69836. Volgens het beveiligingsbulletin voert een ongeauthenticeerde aanvaller er willekeurige code mee uit. Zo iemand heeft dus geen geldige inloggegevens nodig. De CVSS-impactscore van het probleem staat op 10.0. Dat is de hoogste waarde op een schaal van 1 tot en met 10. Onderzoekers kennen die score zelden toe. Microsoft bracht inmiddels een beveiligingsupdate uit en verhielp het probleem. Het techbedrijf publiceerde de waarschuwing op vrijdag 21 augustus 2026. De melding valt op, juist omdat Microsoft zulke hoge scores nauwelijks gebruikt. Bij een dienst met miljoenen zakelijke gebruikers weegt zo’n signaal extra zwaar. Beheerders wereldwijd lazen het bulletin dan ook met bijzondere aandacht.
Entra ID heette voorheen Azure Active Directory. De dienst regelt identiteits- en toegangsbeheer vanuit de cloud. Organisaties geven medewerkers er toegang mee tot apps en andere resources. Denk aan e-mail, samenwerkingssoftware, bestandsopslag en interne bedrijfssystemen. Entra ID vormt daarmee de digitale voordeur van veel bedrijven en instellingen. Wie die voordeur openbreekt, bereikt vaak in een klap de hele omgeving. Ook single sign-on en multifactorauthenticatie lopen via dit platform. Daarnaast koppelen organisaties externe partners, leveranciers en klanten aan hun omgeving. Juist die centrale rol maakt een kwetsbaarheid met score 10.0 zo zorgwekkend. Overheden, ziekenhuizen en scholen vertrouwen dagelijks op deze dienst. Een storing of inbraak raakt daardoor meteen enorme aantallen gebruikers.
De kwetsbaarheid ontstond door ‘deserialization of untrusted data’. Software zet bij deserialisatie opgeslagen of verstuurde gegevens weer om naar bruikbare objecten. Wanneer een applicatie die gegevens onvoldoende controleert, ontstaat er gevaar. Een aanvaller stuurt dan zelf gemanipuleerde data naar de dienst. Het systeem verwerkt die data en voert vervolgens ongewenste opdrachten uit. In dit geval maakte die fout remote code execution mogelijk. Deserialisatiefouten gelden al jaren als een hardnekkig probleem in de softwarewereld. Ontwikkelaars onderschatten regelmatig hoeveel macht binnenkomende gegevens krijgen. Microsoft deelde verder geen technische details over het lek. Het bedrijf beschreef evenmin welke onderdelen van de dienst kwetsbaar waren. Die terughoudendheid voorkomt dat andere aanvallers de aanval alsnog nabouwen. Onderzoekers vinden zulke stilte lastig, want zij missen zo bruikbare context.
Microsoft ontdekte de kwetsbaarheid zelf. Het bedrijf meldt daarbij dat aanvallers er misbruik van maakten. Dat misbruik vond plaats voordat de patch beschikbaar kwam. In vakjargon heet zo’n situatie een zeroday. Aanvallers benutten de fout dan eerder dan verdedigers hem kunnen dichten. Over de aanvallen zelf gaf het techbedrijf geen informatie. Zo blijft onduidelijk hoeveel organisaties daadwerkelijk schade opliepen. Microsoft noemde ook geen daders, motieven of aanvalsmethodes. Klanten hoeven volgens het bedrijf geen verdere actie te ondernemen. Microsoft loste het probleem namelijk aan de kant van de clouddienst op. De officiële CVE-pagina bevestigt dat klanten niets hoeven te doen. De doorgevoerde patch geldt inmiddels voor alle gebruikers van de dienst. Beheerders werken dus geen eigen servers of software bij. Toch adviseren specialisten om de eigen omgeving alsnog kritisch te bekijken.
Die aanpak toont een belangrijk verschil tussen cloud en eigen infrastructuur. Bij clouddiensten rolt de leverancier een oplossing centraal uit. Beheerders merken daar in de praktijk vrijwel niets van. Dat werkt snel en voorkomt vergeten updates op honderden servers. Tegelijk levert het model minder inzicht en minder controle op. Organisaties zien namelijk niet welke gegevens aanvallers eventueel benaderden. Ze beoordelen ook niet zelf hoelang het lek precies openstond. Een eigen onderzoek naar mogelijke schade wordt daardoor lastig. Klanten blijven zo afhankelijk van de informatie die hun leverancier deelt. Die afhankelijkheid speelt bij vrijwel elke grote clouddienst een rol. Transparantie na een incident wint daarom sterk aan belang.
Op securityfora reageerden lezers kritisch op het nieuws. Verschillende reacties wijzen op de grote afhankelijkheid van Microsoft-clouddiensten. Sommige lezers pleiten voor een terugkeer naar zelfgehoste infrastructuur. Anderen noemen open source en Linux als serieus alternatief. Ook stellen lezers voor om diensten achter een VPN te plaatsen. Een deel van de discussie richt zich op management in plaats van techniek. Volgens die lezers kiezen bestuurders te makkelijk voor SaaS en PaaS. Zij letten dan vooral op verwachte kostenbesparingen. Weer anderen vinden dat beheerders te weinig kennis buiten Microsoft opdoen. Een lezer merkte bovendien op dat de CVSS-score later nog werd aangepast. Zulke bijstellingen komen vaker voor zodra leveranciers meer informatie vrijgeven. Deze meningen komen uit de reacties en niet van Microsoft zelf. Ze schetsen wel het ongemak dat in de sector leeft.
Voor organisaties blijft waakzaamheid verstandig, ondanks de automatische oplossing. Beheerders controleren het beste hun logbestanden op verdachte aanmeldingen. Denk aan onbekende locaties, vreemde tijdstippen of nieuwe applicatieregistraties. Ook een check op onverwachte rechten en gastaccounts helpt. Verder beperken sterke authenticatie en krappe beheerdersrechten de gevolgen van een inbraak. Een noodplan voor uitval van de identiteitsdienst hoort daar eveneens bij. Tot slot loont het om duidelijke afspraken met leveranciers vast te leggen. Denk aan meldingstermijnen, toegang tot logbestanden en heldere communicatie na incidenten. Het incident laat vooral zien hoe kwetsbaar centrale identiteitsdiensten zijn. Een fout in de software raakt meteen talloze klanten tegelijk. Bedrijven wegen dat risico daarom bewust af bij nieuwe keuzes. Wie voor de cloud kiest, accepteert immers ook de risico’s van die keuze. Een goede voorbereiding maakt het verschil zodra het echt misgaat.
