Microsoft schließt Sicherheitslücke mit Höchstbewertung in Entra ID
CVE-2026-69836 erreichte den Höchstwert 10,0 auf der Schweregradskala und hätte es Angreifern ermöglicht, ohne Anmeldung Code in Microsofts Cloud-Identitätsdienst auszuführen. Microsoft erklärt, die Lücke sei bereits geschlossen – Nutzerinnen und Nutzer müssten nichts unternehmen.
Meridians Wirtschafts-Redaktion
Published 23. August 2026 · Updated 23. August 2026 · 3 min read
SoftwareThe short answer
- Microsoft hat CVE-2026-69836 offengelegt – eine Schwachstelle für Remote-Code-Ausführung mit der höchsten Schweregradstufe (CVSS 10,0) in Entra ID, dem Cloud-Identitätsdienst hinter den Anmeldungen für Microsoft 365, Azure und viele Anwendungen von Drittanbietern.
- Ursache war die Deserialisierung nicht vertrauenswürdiger Daten; Sicherheitsforschern zufolge hätten nicht authentifizierte Angreifer darüber Code über das Netzwerk ausführen können.
- Microsoft stufte die Lücke zunächst als aktiv ausgenutzt ein, korrigierte diese Einschätzung aber am 21. August 2026 und erklärte, sie sei vor der Auslieferung des Fixes nicht ausgenutzt worden.
- Microsoft zufolge ist das Problem auf der eigenen Seite vollständig behoben; für einzelne Nutzerinnen und Nutzer besteht kein Handlungsbedarf.
Microsoft hat eine Schwachstelle mit der höchstmöglichen Schweregradbewertung in Entra ID geschlossen. Der Cloud-Identitätsdienst wickelt die Anmeldungen für Microsoft 365, Azure und eine Vielzahl von Anwendungen Dritter ab. Die unter CVE-2026-69836 geführte Lücke erreichte auf der branchenüblichen Schweregradskala den Höchstwert 10,0.
Was die Lücke ermöglichte
Die Schwachstelle betraf die Deserialisierung nicht vertrauenswürdiger Daten in Entra ID. Darüber hätten nicht authentifizierte Angreifer Code über das Netzwerk ausführen können – ganz ohne Passwort oder Anmeldung. Entdeckt wurde sie vom Sicherheitsforscher Robert Fitzpatrick, öffentlich gemacht wurde sie am 21. August 2026.
Wurde die Lücke tatsächlich ausgenutzt?
Microsoft kennzeichnete die Schwachstelle zunächst als aktiv ausgenutzt, revidierte diese Einschätzung jedoch am 21. August und erklärte, sie sei vor dem Einspielen des Patches nicht ausgenutzt worden. Zum zeitlichen Ablauf oder dazu, wie die ursprüngliche Einschätzung zustande kam, hat das Unternehmen keine Einzelheiten veröffentlicht.
Was Microsoft zu tun empfiehlt
Da es sich bei Entra ID um einen Cloud-Dienst handelt, hat Microsoft die Lücke in der eigenen Infrastruktur behoben und nicht über ein herunterladbares Update. Für diese konkrete Schwachstelle sei weder von einzelnen Nutzerinnen und Nutzern noch von IT-Administratoren etwas zu tun, so das Unternehmen.
Sources
Every factual claim above is traceable to these documents. Check them — that is why they are here.
About this byline
Meridians Wirtschafts-Redaktion is an editorial desk at Meridians, not an individual. A desk byline means the article was produced and fact-checked to that desk's published standards. Read our editorial standards and corrections policy.
Anzeige
Paid placement · not editorial
CISA setzt Frist noch in derselben Woche für vier aktiv ausgenutzte Sicherheitslücken – eine erreicht die Höchstwertung 10
4 Min. Lesezeit · 13. September 2026
Microsofts September-Update schließt zwei Windows-Lücken, die bereits angegriffen werden
4 Min. Lesezeit · 9. September 2026
Das BSI meldet eine kompromittierte Behörde — und zwei Lücken, die längst ausgenutzt werden
4 Min. Lesezeit · 6. September 2026
The Meridians Brief
One considered email a week
What changed, what it costs you, and what to do about it — from the Meridians desks. No sponsored picks disguised as recommendations.
Sign-up opens with our launch issue. Nothing is sent or stored yet.