En bref
CVE-2026-69836 est une vulnérabilité d’exécution de code à distance dans Microsoft Entra ID avec un score de base CVSS de 10.0, causée par la désérialisation non sécurisée de données contrôlées par un attaquant. Microsoft l’a découverte en interne, a corrigé son infrastructure cloud avant la divulgation publique du 20 août 2026, et a confirmé le 24 août qu’elle n’avait jamais été exploitée. Aucun correctif, modification de configuration ou mesure d’atténuation côté client n’est nécessaire. Les équipes qui s’appuient sur Entra ID pour le SSO Azure, l’Accès conditionnel ou l’émission de jetons doivent néanmoins examiner leur posture de sécurité des identités, conserver les journaux pertinents et documenter l’avis à des fins de conformité.
Ce qui s’est passé et quand
20 août 2026. Microsoft a publié l’avis CVE-2026-69836 via le Microsoft Security Response Center (MSRC). Le bulletin décrit une vulnérabilité critique d’exécution de code à distance dans Entra ID — le service d’identité cloud géré qui gère l’authentification pour Azure Active Directory, Microsoft 365, les stratégies d’Accès conditionnel et le SSO fédéré pour les applications d’entreprise tierces. La faille obtient un score de base CVSS 3.1 de 10.0, le maximum possible. Fait notable : l’avis initial incluait le tag « Exploitation : Oui », laissant entendre une exploitation active dans la nature.
21 août 2026. Help Net Security et plusieurs publications spécialisées en sécurité ont relayé l’avis et interrogé Microsoft sur le statut d’exploitation. La divulgation — une faille CVSS 10.0 dans la couche d’identité utilisée par des millions de tenants Azure — a immédiatement attiré l’attention des équipes de sécurité d’entreprise. Les équipes qui effectuaient des audits de sécurité de leurs environnements Azure ont commencé à extraire les journaux de connexion Entra ID pour détecter d’anomalies — avant que des recommandations de correctif n’existent.
24 août 2026 (aujourd’hui). Suite à une demande de The Hacker News, Microsoft a corrigé le statut de l’avis. La société a confirmé que la vulnérabilité n’avait pas été exploitée dans la nature et que le tag « Exploitation : Oui » initial était une erreur. Microsoft a déclaré : « Nous avons identifié et résolu ce problème et publié CVE-2026-69836 dans un souci de transparence. Les clients n’ont aucune action supplémentaire à entreprendre. »
La faille : désérialisation dans un service cloud géré
La vulnérabilité est classée CWE-502 : Désérialisation de données non fiables. En pratique, un objet de données sérialisé — un paquet structuré représentant un état d’application — était accepté par le backend d’Entra ID sans validation suffisante de son contenu. Lorsqu’un attaquant envoie un objet sérialisé spécialement conçu au point de terminaison vulnérable, le service reconstruit l’objet et, durant ce processus, exécute du code fourni par l’attaquant. Aucune authentification n’est requise ; la surface d’attaque est accessible par réseau.
Le profil d’attaque est sévère : non authentifié, accessible par réseau, aucune interaction utilisateur requise, aucun privilège nécessaire, impact total sur la confidentialité, l’intégrité et la disponibilité — autant de facteurs qui portent un score CVSS à 10.0. Entra ID n’est pas un service périphérique ; c’est la racine de confiance cryptographique de chaque tenant Azure. Un exploit réussi avant le correctif aurait pu affecter l’émission de jetons, les données d’annuaire et l’authentification des services en aval qui dépendent d’Entra pour la gestion des identités.
La vulnérabilité a été découverte par Robert Fitzpatrick, ingénieur sécurité principal chez Microsoft, lors d’une revue de sécurité interne et non par un chercheur extérieur. Microsoft a corrigé le problème côté serveur — une voie de remédiation uniquement possible parce qu’Entra ID fonctionne comme un service cloud entièrement géré sous le contrôle opérationnel de Microsoft. Les clients d’entreprise ne peuvent pas accéder ni modifier la couche de service Entra ID ; tous les correctifs sont appliqués directement par Microsoft.
La correction du statut « Exploité : Oui »
Le tag initial de l’avis a créé une fenêtre de quatre jours d’inquiétude légitime pour les équipes de sécurité d’entreprise. Une faille CVSS 10.0 dans l’infrastructure d’identité cloud marquée comme activement exploitée est un incident de sécurité, qu’une activité d’attaquant soit confirmée ou non : les équipes disposant de programmes SOC 2 ou ISO 27001 ont des obligations documentées d’investigation, de préservation de preuves et d’évaluation de la portée lorsque la plateforme d’identité de leurs charges de travail Azure est signalée.
La correction de Microsoft du 24 août levèe l’obligation d’enquête — mais n’élimine pas l’exigence de documentation de conformité. Si le registre des risques ou le programme d’audit de votre organisation a été mis à jour pour reflet le statut « exploité » initialement divulgué, il doit maintenant être mis à jour pour refléter le statut corrigé et inclure la déclaration de Microsoft comme pièce justificative.
L’épisode illustre également un manque de transparence dans les divulgations de sécurité des plateformes cloud. Lorsqu’un service géré comme Entra ID est corrigé, les clients ne reçoivent aucun préavis et souvent aucun détail technique sur la faille. L’avis CVE est le seul signal. Lorsque cet avis contient un tag d’exploitation incorrect, la réponse au risque de l’entreprise est disproportionnée à la menace réelle. Une meilleure communication préalable de la part des fournisseurs de plateformes réduirait ce bruit.
Ce que cela signifie pour les équipes logicielles US et EU
L’identité cloud est votre frontière de responsabilité partagée la plus critique. La plupart des déploiements Azure d’entreprise dépendent d’Entra ID pour l’authentification sur tous les services — des pipelines CI/CD des développeurs aux API côté client. Une faille dans Entra ID ne nécessite aucune erreur de l’équipe d’ingénierie du client pour créer une exposition. Le modèle de responsabilité partagée place la sécurité de la plateforme entre les mains de Microsoft, mais les conséquences opérationnelles d’une violation retombent sur le client. Comprendre cette frontière — et maintenir la posture de surveillance pour détecter les anomalies au niveau de la couche d’identité — est une exigence fondamentale de l’architecture de sécurité cloud, pas une mesure de durcissement optionnelle.
Le RGPD article 32 et NIS2 créent des obligations de documentation indépendamment d’une violation. Pour les équipes du marché européen, la divulgation d’une faille CVSS 10.0 dans l’infrastructure d’un sous-traitant de données (Entra ID est un sous-traitant de données Microsoft au sens du RGPD) déclenche une obligation d’évaluation des risques même en l’absence de violation. Les équipes opérant sous NIS2 ou DORA peuvent devoir produire une évaluation écrite confirmant que la faille n’a pas affecté leur environnement. Conservez l’URL de l’avis MSRC, la date de divulgation corrigée et un résumé d’examen des journaux dans vos archives RGPD article 32.
Les industries réglementées supportent le coût signal/réponse le plus élevé. Les équipes FinTech sous PCI DSS, HealthTech sous HIPAA et les éditeurs SaaS en audit SOC 2 Type II devront tous documenter pourquoi un avis CVSS 10.0 pour un service d’authentification central n’a pas déclenché une réponse à incident formelle. La bonne réponse — « Microsoft a confirmé que le correctif a été appliqué avant la divulgation et que la faille n’a jamais été exploitée » — doit être consignée par écrit avec la source MSRC citée.
Ce que cela représente pour le marché français
En France, Microsoft Entra ID est massivement déployé dans les entreprises du CAC 40 comme dans les ETI, notamment pour l’authentification unique (SSO) vers Microsoft 365 et les applications métiers Azure. La divulgation d’une vulnérabilité CVSS 10.0 sur une infrastructure d’identité cloud constitue, au regard du RGPD art. 32, une obligation d’analyse de risque documentée pour tout responsable de traitement utilisant Entra ID comme sous-traitant de données — même en l’absence de violation avérée. La CNIL peut demander, lors d’un contrôle, la traçabilité de la gestion de cet événement.
L’ANSSI a publié des recommandations sur la sécurisation des annuaires cloud (guide « Sécurisation d’Active Directory ») directement applicables à Entra ID. Pour les acteurs FinTech sous supervision AMF/ACPR et soumis à DORA, une évaluation écrite du risque est obligatoire. Conservez l’avis MSRC, la date de correction du statut d’exploitation et les journaux d’audit Entra ID couvrant la fenêtre d’exposition du 14 au 20 août.
Vos configurations Azure et d’identité cloud sont-elles sécurisées ?
Les ingénieurs de YuSMP réalisent des tests d’intrusion et audits de sécurité couvrant l’infrastructure d’identité, la configuration Entra ID, les permissions des principaux de service, les lacunes des stratégies d’Accès conditionnel et les chemins d’exfiltration de jetons. Nous livrons une feuille de route de remédiation priorisée en deux à quatre semaines — structurée pour que votre équipe de sécurité puisse présenter les résultats directement aux auditeurs de conformité.
Demander un audit de sécurité des identitésCe que votre équipe doit vérifier maintenant
| Action | Calendrier | Remarques |
|---|---|---|
| Extraire les journaux de connexion et d’audit Entra ID pour le 14–20 août | Cette semaine | Rechercher des anomalies d’authentification, une activité inattendue des principaux de service ou des pics d’émission de jetons avant le correctif. Conserver l’export même si rien d’inhabituel n’est détecté. |
| Vérifier que les stratégies d’Accès conditionnel imposent le MFA et la conformité des appareils | Cette semaine | Un exploit de désérialisation ciblant l’émission de jetons pourrait théoriquement contourner les vérifications d’Accès conditionnel sur un point de terminaison vulnérable. Vérifier les stratégies et générer un rapport d’état. |
| Auditer les autorisations des principaux de service selon le moindre privilège | Ce sprint | Les principaux de service avec des autorisations excessives — notamment Owner ou Contributor sur des abonnements — amplifient la portée de toute compromission de la couche d’identité. Réduire au minimum requis pour chaque intégration applicative. |
| Vérifier que les notifications de sécurité Microsoft parviennent à une boîte active | Ce sprint | Les avis MSRC sont envoyés aux comptes inscrits au service de notification sécurité de Microsoft. De nombreuses organisations découvrent lors d’un incident qu’elles ne les reçoivent pas. |
| Documenter CVE-2026-69836 avec le statut corrigé dans le registre des risques | Ce sprint | Consigner la divulgation initiale, le tag d’exploitation, la correction et la déclaration de Microsoft. Joindre l’URL MSRC et les rapports de Help Net Security et The Hacker News. Satisfait aux exigences SOC 2, ISO 27001 et RGPD art. 32. |
| Planifier une revue annuelle de la sécurité des identités | Prochain trimestre | La dérive de configuration d’Entra ID — comptes invités obsolètes, applications sur-privilégiées, protocoles d’authentification hérités encore actifs — crée une surface d’attaque qu’aucun correctif de plateforme ne peut combler. Une revue tierce annuelle est le contrôle opérationnel qui ferme le côté client de la responsabilité partagée. |
Sources : The Hacker News — Microsoft corrige une faille grave Entra ID (CVSS 10.0) permettant l’exécution de code à distance (The Hacker News, 21–24 août 2026) ; Help Net Security — Vulnérabilité critique Microsoft Entra ID exploitée dans la nature (CVE-2026-69836) (Help Net Security, 21 août 2026) ; Avis Microsoft Security Response Center CVE-2026-69836 (Microsoft, 20 août 2026).
FAQ
Qu’est-ce que CVE-2026-69836 dans Microsoft Entra ID ?
CVE-2026-69836 est une vulnérabilité critique d’exécution de code à distance dans Microsoft Entra ID, la plateforme d’identité cloud qui sous-tend Azure AD, l’Accès conditionnel et le SSO pour des millions de tenants. La faille est due à la désérialisation non sécurisée de données non fiables (CWE-502) : le backend pouvait être amené à traiter des objets sérialisés contrôlés par un attaquant et à exécuter du code arbitraire sans authentification. Le score de base CVSS 3.1 est de 10.0 — le maximum possible.
Les équipes d’entreprise doivent-elles appliquer un correctif pour CVE-2026-69836 ?
Non. Entra ID étant un service cloud entièrement géré, Microsoft a appliqué le correctif directement sur sa propre infrastructure. Il n’y a pas de packages de mise à jour, d’articles KB ni de modifications de configuration pour les clients. Microsoft a déclaré : « Nous avons identifié et résolu ce problème et publié CVE-2026-69836 dans un souci de transparence. Les clients n’ont aucune action supplémentaire à entreprendre. »
CVE-2026-69836 a-t-elle été exploitée dans la nature ?
Non. Microsoft avait initialement balisé l’avis du 20 août avec « Exploité : Oui », suscitant une vive inquiétude. Suite à une demande de The Hacker News, Microsoft a corrigé le statut le 24 août 2026 et confirmé que la vulnérabilité n’avait jamais été exploitée. Le balisage initial semble avoir été une erreur de divulgation.
Que doivent faire les équipes de sécurité qui utilisent Entra ID ?
Bien qu’aucun correctif ne soit requis, les équipes doivent : (1) Conserver et examiner les journaux de connexion Entra ID pour la fenêtre du 14–20 août. (2) Vérifier que les stratégies d’Accès conditionnel imposent le MFA et la conformité des appareils. (3) Auditer les autorisations des principaux de service. (4) Confirmer que les notifications de sécurité Microsoft sont actives. (5) Documenter l’avis dans le registre des risques RGPD art. 32.
Pourquoi une vulnérabilité cloud corrigée nécessite-t-elle tout de même une action de l’entreprise ?
La responsabilité partagée signifie que le correctif relève de Microsoft, mais la documentation et la revue de posture vous incombent. Les industries réglementées (FinTech sous PCI DSS et DORA, HealthTech sous HIPAA, éditeurs SaaS en audit SOC 2) peuvent devoir produire une évaluation des risques écrite. La bonne réponse doit être consignée par écrit avec la source MSRC citée, qu’une violation ait eu lieu ou non.