Kritische Entra-ID-Lücke CVE-2026-69836: CVSS 10.0, aber keine Admin-Aktion nötig

Microsoft hat am Donnerstag, den 20. August 2026, vor einer Sicherheitslücke mit dem höchstmöglichen CVSS-Wert von 10.0 in Entra ID gewarnt - dem Cloud-Identitätsdienst, der früher als Azure Active Directory (Azure AD) bekannt war. Die Lücke trägt die Kennung CVE-2026-69836 und ermöglicht Remote Code Execution (RCE) durch die Deserialisierung nicht vertrauenswürdiger Daten. Einen Tag später folgte eine wichtige Korrektur: Entgegen der ursprünglichen Angabe wurde die Lücke nicht aktiv ausgenutzt. Für Admins bedeutet das eine seltene gute Nachricht bei einem CVSS-10.0-Eintrag - und der zentrale Punkt vorweg: Es ist keine Handlung nötig.

Was ist passiert?

In seinem Security-Bulletin vom 20. August beschreibt Microsoft die Schwachstelle so: "Deserialization of untrusted data in Microsoft Entra ID allows an unauthorized attacker to execute code over a network." Betroffen ist damit der zentrale Cloud-Identitätsdienst, über den Unternehmen Benutzeranmeldungen, Single Sign-on und Zugriffsrechte für Microsoft 365, Azure und zahlreiche angebundene Drittanwendungen verwalten. Entdeckt und gemeldet wurde die Lücke von Robert Fitzpatrick, Principal Security Engineer bei Microsoft selbst - es handelt sich also um einen internen Fund, keinen externen Hinweisgeber.

Da Entra ID ein vollständig von Microsoft betriebener Cloud-Dienst ist, konnte der Hersteller die Lücke serverseitig schließen, ohne dass Kunden ein Update einspielen mussten. Microsoft erklärte dazu: "This vulnerability has already been fully mitigated by Microsoft. There is no action for users of this service to take."

Die Korrektur vom 21. August: Nicht aktiv ausgenutzt

Ursprünglich enthielt die Exploitability-Assessment-Tabelle im Microsoft-Bulletin beim Feld "Exploited" den Eintrag "Yes" - ein Hinweis auf eine bereits laufende aktive Ausnutzung. Genau das hätte für Entra-ID-Kunden weltweit höchste Alarmstufe bedeutet. Nachdem The Hacker News bei Microsoft nachgefragt hatte, korrigierte der Konzern am 21. August 2026 den Status auf "No" und ergänzte die Klarstellung, die Lücke sei "nicht in freier Wildbahn ausgenutzt" worden.

Ein Microsoft-Sprecher erklärte gegenüber The Hacker News: "We identified and addressed this issue with a fix and released CVE-2026-69836 for greater transparency. There are no additional actions customers need to take." Details dazu, wie die Lücke intern entdeckt oder in einer Testumgebung nachgewiesen wurde, hat Microsoft nicht veröffentlicht - was angesichts der fehlenden aktiven Ausnutzung auch keine praktische Relevanz für Admins hat.

Was sind Deserialisierungs-Schwachstellen? Eine Einordnung für Admins

Der Begriff "Deserialisierung" klingt technisch, das Grundproblem lässt sich aber einfach erklären. Anwendungen wandeln Objekte oder Datenstrukturen häufig in ein übertragbares Format um (Serialisierung), etwa um sie über ein Netzwerk zu senden oder zwischenzuspeichern. Beim Empfänger werden diese Daten dann wieder in nutzbare Objekte zurückverwandelt (Deserialisierung). Prüft eine Anwendung dabei nicht ausreichend, ob die eingehenden Daten vertrauenswürdig und unverändert sind, kann ein Angreifer präparierte Daten einschleusen, die beim Zurückverwandeln in ein Objekt eigenen Code zur Ausführung bringen.

Diese Schwachstellenklasse zählt zu den gefährlichsten überhaupt, weil sie direkt zu Remote Code Execution führen kann - dem Angreifer also erlaubt, beliebigen Code auf dem betroffenen System auszuführen. Typische Folgen von Deserialisierungslücken sind:

1. Vollständige Codeausführung mit den Rechten des verarbeitenden Dienstes
2. Denial-of-Service durch gezielt fehlerhafte Objektstrukturen
3. Umgehung von Zugriffskontrollen und Berechtigungsprüfungen
4. Bei Identitätsdiensten im schlimmsten Fall: Übernahme von Benutzerkonten oder ganzen Mandanten

Bekannt wurde diese Schwachstellenklasse einem breiteren Publikum unter anderem durch Java-Deserialisierungslücken in Unternehmenssoftware und durch .NET-ViewState-Angriffe. Dass nun ausgerechnet Entra ID betroffen war, macht die Meldung brisant: Der Dienst verwaltet die Identitäten von Millionen Unternehmenskonten weltweit und ist die zentrale Vertrauensbasis für Microsoft 365, Azure-Ressourcen und unzählige per Single Sign-on angebundene Drittanwendungen.

Warum Cloud-Identitätsdienste ein besonders attraktives Angriffsziel sind

Identitätsdienste wie Entra ID sind der Dreh- und Angelpunkt moderner IT-Infrastruktur. Wer Zugriff auf Entra ID kompromittiert, kompromittiert potenziell nicht nur ein System, sondern die Authentifizierung für Hunderte angebundener Anwendungen gleichzeitig - von Microsoft 365 über Azure-Ressourcen bis zu Drittanbieter-SaaS-Diensten, die per SSO eingebunden sind. Das macht Identitätsdienste zu einem der lohnendsten Ziele für Angreifer: Ein einziger erfolgreicher Angriff kann horizontale Bewegung durch eine gesamte Unternehmensumgebung ermöglichen.

Für Unternehmen, die Microsoft 365 oder Azure nutzen, folgt daraus eine wichtige Erkenntnis: Die eigene Sicherheit hängt nicht nur von der eigenen Konfiguration ab, sondern auch von der Sicherheit der zugrunde liegenden Cloud-Plattform selbst. Genau deshalb ist der aktuelle Fall in zweierlei Hinsicht lehrreich:

1. Cloud-Anbieter wie Microsoft patchen zentral verwaltete Dienste selbst - Kunden können bei reinen Cloud-Diensten oft nichts tun, selbst wenn sie wollten
2. Die Reaktionsgeschwindigkeit und Transparenz des Anbieters wird damit zum entscheidenden Sicherheitsfaktor
3. Microsoft veröffentlichte die CVE trotz vollständiger serverseitiger Mitigation "for greater transparency" - ein Modell, das Nachvollziehbarkeit auch bei bereits geschlossenen Cloud-Lücken schafft
4. Admins sollten dennoch grundsätzlich prüfen, welche eigenen Konfigurationen (Conditional Access, MFA, privilegierte Rollen) zusätzliche Schutzschichten bieten, unabhängig vom aktuellen Fall

Was Admins jetzt tun sollten - und warum in diesem Fall fast nichts

Der wichtigste Praxishinweis zu diesem Fall ist ungewöhnlich: Es gibt keine Patch-Pflicht, kein Update und keine Konfigurationsänderung, die Admins jetzt vornehmen müssten. Microsoft hat die Lücke vollständig serverseitig gemitigiert, bevor der Fall überhaupt öffentlich wurde. Ein CVSS-Wert von 10.0 löst bei vielen Administratoren reflexartig Panik-Patching aus - in diesem Fall ist das nicht nötig und würde nur Ressourcen binden, die anderswo besser eingesetzt sind.

Trotzdem lohnt sich für Admins von Microsoft-365- und Entra-Umgebungen ein kurzer Realitäts-Check der eigenen Umgebung, unabhängig von diesem konkreten CVE:

1. Ist Multi-Faktor-Authentifizierung (MFA) für alle Konten aktiviert, insbesondere für privilegierte Rollen?
2. Sind Conditional-Access-Richtlinien so konfiguriert, dass riskante Anmeldeversuche automatisch blockiert oder zusätzlich geprüft werden?
3. Werden privilegierte Rollen nur bei Bedarf und zeitlich befristet vergeben (Prinzip der geringsten Rechte)?
4. Gibt es ein Monitoring für ungewöhnliche Anmeldeaktivitäten und Sign-in-Logs in Entra ID?
5. Ist bekannt, welche Drittanwendungen per Single Sign-on an Entra ID angebunden sind und ob deren Berechtigungen regelmäßig überprüft werden?

Diese Maßnahmen haben nichts mit CVE-2026-69836 im Speziellen zu tun, sind aber die Art von grundlegender Identitäts-Hygiene, die den Schaden im Fall einer künftigen, tatsächlich ausgenutzten Lücke begrenzt. Wer diese Punkte noch nicht sauber umgesetzt hat, kann die aktuelle Meldung als Anlass nehmen, es nachzuholen - nicht wegen dieser konkreten Lücke, sondern grundsätzlich.

Einordnung: Ein weiterer datenreicher Patch-Monat bei Microsoft

Der Entra-ID-Fall reiht sich in einen ohnehin ereignisreichen August 2026 für Microsoft-Sicherheitsmeldungen ein. Anfang des Monats hatte Microsoft bereits eine andere, tatsächlich aktiv ausgenutzte Lücke geschlossen: CVE-2026-68820, eine Privilege-Escalation-Schwachstelle im Windows Ancillary Function Driver for WinSock mit einem CVSS-Wert von 7.0. Diese Lücke wurde laut Microsoft als Zero-Day von der nordkoreanischen Lazarus-Gruppe im Rahmen der langlaufenden Kampagne "Operation Dream Job" ausgenutzt. Anders als bei Entra ID handelte es sich dabei um eine reale, aktive Bedrohung mit Patch-Pflicht für betroffene Windows-Systeme.

Der Kontrast zwischen beiden Fällen verdeutlicht, warum eine sorgfältige Einordnung von CVSS-Werten und Exploitability-Status für Admins so wichtig ist: Ein hoher CVSS-Score allein sagt noch nichts über die tatsächliche Dringlichkeit einer Reaktion aus. Erst der Exploitability-Status - aktiv ausgenutzt oder nicht - und die Frage, ob überhaupt eine Kundenaktion möglich beziehungsweise nötig ist, entscheiden über die richtige Priorisierung im Tagesgeschäft.

Passende Anleitungen auf S-EDV

1. Entra Privileged Identity Management (PIM): Just-in-Time-Adminrechte für KMU einführen
2. Microsoft 365: MFA und Conditional Access in Entra ID einrichten
3. Windows LAPS mit Entra ID und Intune: Lokale Adminpasswörter sicher verwalten

Quellen

1. The Hacker News: Microsoft Patches Severe Entra ID Flaw (CVSS 10.0) Allowing Remote Code Execution
2. Microsoft Security Response Center: CVE-2026-69836 Security Update Guide
3. Help Net Security: Critical Microsoft Entra ID vulnerability (CVE-2026-69836)