加密新闻

微软公司已完成修复其云身份与访问管理服务 Entra ID 中的一个严重漏洞。该漏洞编号为 CVE-2026-69836，在 CVSS 评分中获得了最高可能的 10.0 分。这是一个极为罕见的案例，该漏洞被认定为绝对严重，没有任何保留或降级因素。

问题的核心在于远程执行任意代码的可能性。攻击者无需在系统中拥有任何授权，即可利用此漏洞，且无需受害者采取任何操作。本质上，这是一次典型的“零点击”攻击，既不需要点击链接，也不需要打开恶意文件——只需网络访问即可。

考虑到 Entra ID（前身为 Azure Active Directory）是全球数千家企业客户进行身份验证的基础设施，此类漏洞可能造成的潜在损害难以估量。该服务一旦被攻破，可能为攻击者打开直接获取整个组织的凭据、访问令牌和内部资源的通道。

目前，微软尚未披露攻击向量的细节，这完全可以理解——在大多数用户安装更新之前公布技术细节，只会增加风险。然而，获得 CVSS 最高评分这一事实本身就表明，该问题极为严重，需要立即响应。

强烈建议使用 Entra ID 的管理员和信息安全专家检查其租户中更新的应用状态。即使微软已发布补丁，延迟安装仍可能使组织面临潜在攻击的风险，而实践表明，攻击者往往会在信息公布后的几天内开始积极利用新漏洞。

我的评论：这一事件再次提醒我们，即使是最大的云平台也无法避免代码中的根本性错误。对企业而言，这是一个信号，表明依赖单一身份提供商是一种风险，值得进行多元化分散。本地备用身份验证机制和多因素防护应成为标准配置，而非可选项。