Entra ID: 10,0er-Lücke CVE-2026-69836 aktiv ausgenutzt

Es gibt Sicherheitsmeldungen, bei denen du in Ruhe ein Update einspielst. Und es gibt diese hier. CVE-2026-69836 trägt den höchstmöglichen CVSS-Wert 10,0 — und du kannst dagegen genau nichts installieren. Der Grund ist gleichzeitig die Entwarnung und das Problem: Die Lücke steckte nicht auf deinem Server, sondern in Microsofts Cloud.

GEFAHR! Ein Datenpaket, kein Passwort

Technisch geht es um unsichere Deserialisierung (CWE-502). Vereinfacht gesagt: Ein Dienst bekommt ein Datenpaket geschickt, packt es aus und baut daraus wieder Objekte im Arbeitsspeicher — ohne vorher gründlich zu prüfen, was da eigentlich drinsteckt. Ein Angreifer schickt statt harmloser Daten ein präpariertes Paket, und beim Auspacken führt der Dienst fremden Code aus.

Bei Entra ID hieß das laut Microsoft: ohne Anmeldung, ohne Nutzerinteraktion, über das Netz. Kein Klick auf einen Link, keine gestohlenen Zugangsdaten, kein Social Engineering. Das ist der Grund für die glatte 10,0 — schlimmer geht die Skala nicht.

Besonders unangenehm ist die Rolle des betroffenen Dienstes. Entra ID ist Microsofts Identitätsverwaltung: Sie entscheidet, wer sich bei Microsoft 365, Azure und tausenden angebundenen Anwendungen anmelden darf. Ein Identitätsdienst ist kein Bauteil unter vielen — er ist die Instanz, der alle anderen glauben.

SCHOCK: Microsoft bestätigt Angriffe — und schweigt zum Rest

Die Offenlegung erfolgte am 20. August 2026. Microsoft bestätigt, dass die Lücke bereits ausgenutzt wurde. Und damit endet die Auskunft auch schon. Öffentlich ist bislang nicht bekannt:

wie die Angriffe konkret abliefen,
seit wann sie laufen,
ob sie noch andauern,
wie viele Tenants betroffen waren.

Ich schreibe das bewusst so nüchtern hin, weil daraus gerade viel Spekulation entsteht. Belegt ist der Befund, nicht der Umfang.

KEIN PATCH — und warum das die unangenehmere Nachricht ist

Entra ID läuft als Cloud-Dienst. Microsoft hat den Fehler auf der eigenen Infrastruktur behoben. Es gibt daher keinen KB-Artikel, kein Update-Paket, keine Einstellung, die du umlegen müsstest. Klingt bequem — ist aber der Haken.

Denn bei einer klassischen Lücke lautet die Frage: Habe ich schon gepatcht? Hier lautet sie: Was ist in dem Zeitfenster passiert, bevor gepatcht wurde? Und die kann dir niemand beantworten außer deinen eigenen Protokollen. Wer bei „nichts zu tun“ aufhört zu lesen, überspringt genau den Teil, der zählt.

So prüfst du deinen Tenant — in 4 Schritten

Die folgenden Schritte kosten dich eine halbe Stunde und sind auch dann sinnvoll, wenn am Ende nichts auffällt:

Anmeldeprotokolle der letzten Wochen auf ungewöhnliche Standorte, Zeiten und Client-Anwendungen durchsehen.
App-Registrierungen und Dienstprinzipale prüfen: Sind neue Geheimnisse oder Zertifikate hinterlegt, die du nicht selbst angelegt hast? Das ist der klassische Weg, sich Zugriff dauerhaft zu sichern.
Rollenzuweisungen und erteilte Berechtigungen kontrollieren — vor allem alles, was Richtung globaler Administrator oder Verzeichnis-Leserechte geht.
Bedingten Zugriff (Conditional Access) gegenprüfen: Sind Regeln entschärft oder Ausnahmen eingetragen worden?

EXTRA-TIPP: Warum dich das auch ohne Entra ID betrifft

Die meisten Leser hier betreiben kein Microsoft-Verzeichnis, sondern Keycloak, Authentik oder Authelia im eigenen Netz. Das Muster ist trotzdem übertragbar: Ein Identitätsdienst ist der lohnendste Angriffspunkt im gesamten Aufbau, weil ein Treffer dort alle dahinterliegenden Anwendungen mitnimmt.

Praktisch heißt das: Deine SSO-Instanz gehört nicht ungeschützt ins offene Internet, sie braucht Updates schneller als jeder andere Dienst, und ihre Protokolle solltest du woanders hin spiegeln — damit sie noch da sind, wenn jemand aufräumt.

Übrigens ist unsichere Deserialisierung kein neuer Trick. Erst am 21. August lief bei uns eine Meldung über genau dieses Muster in Splunks MCP-Server. Ein Fehlertyp aus den frühen 2000ern, der 2026 immer noch die dicksten Türen aufmacht.

FAZIT: Ruhe bewahren, aber hinschauen

Du musst heute nichts installieren. Du solltest aber einmal in deine Protokolle schauen — und dir merken, dass „der Anbieter hat es serverseitig behoben“ nicht dasselbe ist wie „bei mir ist nichts passiert“.

Häufige Fragen

Muss ich als Kunde ein Update einspielen?

Nein. Entra ID ist ein verwalteter Cloud-Dienst, Microsoft hat die Korrektur auf der eigenen Infrastruktur ausgerollt. Es gibt weder ein Update-Paket noch einen KB-Artikel noch eine Konfigurationsänderung, die du vornehmen müsstest. Deine Aufgabe liegt nicht beim Patchen, sondern bei der nachträglichen Kontrolle deines Tenants.

Woran erkenne ich, ob mein Tenant betroffen war?

Eindeutige öffentliche Erkennungsmerkmale gibt es bislang nicht, Microsoft hat keine Angriffsdetails veröffentlicht. Verlässlicher ist der indirekte Weg: Anmeldeprotokolle, neu hinterlegte Geheimnisse oder Zertifikate bei App-Registrierungen, veränderte Rollenzuweisungen und aufgeweichte Regeln für bedingten Zugriff.

Was bedeutet unsichere Deserialisierung überhaupt?

Ein Dienst bekommt Daten in verpackter Form und baut daraus wieder Objekte im Speicher. Prüft er dabei nicht, was er auspackt, kann ein Angreifer ein präpariertes Paket schicken, das beim Auspacken eigenen Code startet. Die Schwachstellenklasse ist über zwanzig Jahre alt und taucht bis heute regelmäßig in neuen Diensten auf.

Bin ich mit Keycloak oder Authentik sicherer?

Nicht automatisch — nur anders zuständig. Bei einem selbst betriebenen Identitätsdienst liegt die Verantwortung für Updates komplett bei dir. Der Vorteil: Du kontrollierst Erreichbarkeit und Protokolle selbst. Der Nachteil: Wenn du ein Update verschläfst, patcht niemand für dich im Hintergrund.

MAX-ALARM! Microsofts Login-Dienst hatte eine 10,0er-Lücke — und für dich gibt es kein Update