Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID (wpis wiodący) | CVE-2026-69836 |
| Objętych podatności | 13 |
| Źródło alertu | GitHub Advisory - podatności krytyczne |
| Data publikacji | 2026-08-21 |
| Producent | Microsoft |
| Produkty | Entra ID, Exchange Online, Azure SQL Database, Azure Arc, Azure Logic Apps, Azure Data Factory, Microsoft Fabric, Azure Managed Instance for Apache Cassandra |
| CVSS Score | do 10.0 (Krytyczny) |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Microsoft opublikował w jednej serii 13 krytycznych podatności w usługach chmurowych. Wpisem wiodącym jest CVE-2026-69836 — deserializacja niezaufanych danych w Microsoft Entra ID, oceniona na maksymalne 10.0 CVSS, pozwalająca nieuwierzytelnionemu napastnikowi na zdalne wykonanie kodu. Entra ID jest katalogiem tożsamości praktycznie każdej organizacji korzystającej z Microsoft 365, więc jest to podatność w warstwie, od której zależy dostęp do wszystkiego pozostałego.
| CVE | Usługa | CVSS | Charakter podatności |
|---|---|---|---|
| CVE-2026-69836 | Entra ID | 10.0 | deserializacja niezaufanych danych → zdalne wykonanie kodu |
| CVE-2026-65801 | Exchange Online | 10.0 | SSRF → eskalacja uprawnień |
| CVE-2026-65770 | Azure Managed Instance for Apache Cassandra | 10.0 | wstrzyknięcie argumentów polecenia → wykonanie kodu |
| CVE-2026-65816 | Azure Arc | 10.0 | użycie błędnie rozwiązanej nazwy lub referencji → eskalacja |
| CVE-2026-69555 | Azure Arc | 10.0 | nieprawidłowa autoryzacja → eskalacja |
| CVE-2026-69502 | Azure SQL Database | 10.0 | SSRF → eskalacja uprawnień |
| CVE-2026-68782 | Azure SQL Database | 9.9 | SQL injection → eskalacja (napastnik uwierzytelniony) |
| CVE-2026-68789 | Azure SQL Database | 9.9 | SQL injection → eskalacja (napastnik uwierzytelniony) |
| CVE-2026-63509 | Microsoft Fabric | 9.9 | względny path traversal → eskalacja (napastnik uwierzytelniony) |
| CVE-2026-69851 | Azure Active Directory | 9.9 | SSRF → eskalacja (napastnik uwierzytelniony) |
| CVE-2026-69400 | Azure Logic Apps | 9.6 | path traversal → eskalacja uprawnień |
| CVE-2026-62834 | Azure Data Factory | 9.3 | błędna weryfikacja podpisu kryptograficznego → eskalacja |
| CVE-2026-66309 | Azure SQL Database | 9.1 | nieprawidłowa kontrola dostępu → eskalacja (napastnik uwierzytelniony) |
Wymagane działania
Najważniejsze rozróżnienie: to nie są podatności, które łata się u siebie.
Microsoft od 2024 r. publikuje CVE dla usług chmurowych w ramach polityki przejrzystości, także wtedy, gdy poprawka została już w całości wdrożona po stronie usługi. Dla wpisów dotyczących usług czysto chmurowych — Entra ID, Exchange Online, Azure SQL Database, Microsoft Fabric, Logic Apps, Data Factory — klient nie ma czego instalować.
Realne działania po stronie organizacji:
- Sprawdź pole „Customer Action Required” przy każdym z tych CVE w portalu MSRC.
Jeżeli jest ustawione na
Yes, Microsoft opisuje tam konkretny krok — i tylko te wpisy wymagają pracy operacyjnej. - Azure Arc to wyjątek. Arc działa przez agenta uruchomionego na Twoich serwerach. Zaktualizuj Connected Machine agent do najnowszej wersji na wszystkich maszynach podłączonych do Arc i zweryfikuj przypisania ról w zakresach objętych Arc.
- Przejrzyj logi audytowe Entra ID i Azure Activity Log z okresu poprzedzającego publikację poprawek — pod kątem nieoczekiwanych nadań ról uprzywilejowanych, nowych rejestracji aplikacji i zmian w poświadczeniach jednostek usługi.
- Zweryfikuj konfigurację uprawnień w Azure SQL Database. Trzy z podatności wymagały napastnika uwierzytelnionego — wartość dodana z ograniczenia uprawnień kont aplikacyjnych utrzymuje się niezależnie od tego, że sama luka jest już zamknięta.
Kogo dotyczy?
Podatności dotyczą organizacji korzystających z Microsoft Entra ID, Exchange Online i usług Azure — czyli w praktyce większości polskich średnich i dużych firm, które przeszły na Microsoft 365.
Największą uwagę operacyjną wymaga Azure Arc: to jedyna z wymienionych usług, której komponent działa na infrastrukturze klienta, a więc jedyna, gdzie zaniechanie aktualizacji pozostawia realnie podatny element w Twojej sieci.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
