Microsoft khắc phục lỗ hổng 'Perfect 10' có thể cho phép tin tặc thực thi mã từ xa

Tóm tắt

• Microsoft đã tiết lộ một lỗ hổng thực thi mã từ xa nghiêm trọng ảnh hưởng đến dịch vụ danh tính đám mây Entra ID của mình.
• CVE-2026-69836 đã nhận được điểm CVSS là 10.0 và không yêu cầu đặc quyền hiện có hoặc tương tác của người dùng để khai thác.
• Microsoft cho biết họ đã khắc phục lỗ hổng và xác nhận rằng nó chưa bị khai thác trong thực tế.

Microsoft đã tiết lộ một lỗ hổng nghiêm trọng trong nền tảng danh tính Entra ID của mình, có thể cho phép kẻ tấn công không được ủy quyền thực thi mã từ xa mà không cần đặc quyền hiện có hoặc tương tác của người dùng.

Được theo dõi dưới mã CVE-2026-69836, lỗ hổng này đã nhận được điểm CVSS là 10.0, mức xếp hạng cao nhất có thể. Lỗi này ảnh hưởng đến Microsoft Entra ID, dịch vụ quản lý truy cập và danh tính dựa trên đám mây của công ty, trước đây được gọi là Azure Active Directory.

Thông báo bảo mật của Microsoft cho biết lỗ hổng có thể bị khai thác qua mạng với độ phức tạp tấn công thấp và không yêu cầu đặc quyền hoặc tương tác của người dùng.

Giải tuần tự hóa (Deserialization) chuyển đổi dữ liệu sang định dạng mà ứng dụng có thể sử dụng. Nếu ứng dụng không xác thực dữ liệu đó một cách chính xác, kẻ tấn công có thể thao túng dữ liệu để thực thi mã độc hại.