A Microsoft corrigiu uma vulnerabilidade de gravidade máxima no Entra ID, o serviço de identidade que autentica os utilizadores de Microsoft 365, Azure e de inúmeras aplicações de terceiros. Identificada como CVE-2026-69836, com uma pontuação CVSS de 10.0, foi descoberta por Robert Fitzpatrick, Principal Security Engineer da própria Microsoft, e permitia a um atacante não autenticado executar código remotamente no serviço de identidade em nuvem. A empresa revelou a falha na quinta-feira, acompanhada da informação de que já tinha sido detetada exploração — mas, ao contrário do que sucede num Patch Tuesday tradicional, não há atualização nenhuma para os clientes instalarem.
Resposta rápida: A CVE-2026-69836 é uma falha de desserialização de dados não confiáveis no Microsoft Entra ID, com CVSS 10.0, que permitia execução remota de código sem autenticação nem interação do utilizador. A Microsoft afirma que a vulnerabilidade já está totalmente mitigada do lado do serviço e que os clientes não têm de instalar patches nem alterar configurações. Ainda assim, e porque o fabricante confirmou exploração sem divulgar indicadores de comprometimento, as equipas de segurança devem rever registos de autenticação, service principals, credenciais de aplicações e atribuições de funções privilegiadas nas semanas anteriores a 20 de agosto de 2026.
O que é, afinal, a CVE-2026-69836
O texto do aviso é curto e revelador: «Deserialization of untrusted data in Microsoft Entra ID allows an unauthorized attacker to execute code over a network», escreve a Microsoft. Em português corrente: um componente do Entra ID aceitava dados serializados vindos de uma origem não confiável e reconstruía-os em memória sem validação suficiente.
A falha está classificada em CWE-502 (Deserialization of Untrusted Data), uma categoria que ocorre quando uma aplicação aceita dados serializados de uma fonte não confiável e os reconstrói sem salvaguardas adequadas. Este tipo de erro pode conduzir a execução de código, negação de serviço ou contorno de controlos de acesso, permitindo ao atacante realizar ações não autorizadas. É uma classe de vulnerabilidades bem conhecida — e particularmente perigosa quando aparece na infraestrutura que decide quem entra e quem não entra nos sistemas de uma organização.
Recorde-se que o Entra ID é o serviço de identidade em nuvem da Microsoft, anteriormente designado Azure Active Directory, que valida logins e controla o acesso a Microsoft 365, Azure e a aplicações de terceiros ligadas. Em muitas PME portuguesas é, na prática, o cofre-forte onde está toda a autenticação da empresa.
Porque é que a pontuação chegou ao máximo
Um 10.0 em CVSS não é atribuído por dramatismo: resulta da combinação das piores métricas possíveis. A vulnerabilidade é explorável remotamente, tem baixa complexidade de ataque, não exige privilégios nem interação do utilizador e podia ter impacto elevado na confidencialidade, integridade e disponibilidade. O vetor publicado é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, com base score 10, e o registo foi publicado a 20 de agosto de 2026.
| Métrica | Valor | Significado prático |
|---|---|---|
| Vetor de ataque (AV) | Rede (N) | Explorável à distância, sem acesso local |
| Complexidade (AC) | Baixa (L) | Não exige condições especiais |
| Privilégios (PR) | Nenhuns (N) | Não é preciso conta válida |
| Interação (UI) | Nenhuma (N) | Ninguém tem de clicar em nada |
| Âmbito (S) | Alterado (C) | O impacto ultrapassa o componente vulnerável |
| C / I / A | Alto / Alto / Alto | Impacto máximo nas três dimensões |
Já foi explorada — mas a Microsoft não diz por quem
É aqui que a história fica incompleta. A Microsoft não divulgou quem explorou a CVE-2026-69836, quando começaram os ataques, qual a sua dimensão nem o que os atacantes fizeram depois de terem êxito; também não existem detalhes técnicos públicos sobre a cadeia de ataque. Segundo a empresa, não há código de exploração disponível publicamente e os utilizadores não têm de tomar qualquer ação, uma vez que a falha já foi corrigida.
Convém notar que as classificações não são inteiramente coincidentes: há publicações a assinalar que a pontuação temporal indicada é de 8.7, inferior ao base score de 10.0, reflexo de fatores como a maturidade não comprovada do exploit e a existência de correção oficial. Na ausência de um relatório técnico ou de indicadores publicados pelo fabricante, o mais prudente é tratar a informação como aquilo que é: um aviso do próprio fornecedor, sem telemetria pública que permita a terceiros validar a extensão dos ataques.
A justificação para a divulgação é dada pela própria Microsoft: «Esta vulnerabilidade já foi totalmente mitigada pela Microsoft. Não há qualquer ação a tomar pelos utilizadores deste serviço. O objetivo deste CVE é dar mais transparência», refere o aviso. Por o Entra ID ser um serviço operado pela Microsoft, a empresa pôde corrigir a infraestrutura vulnerável sem obrigar os clientes a instalar uma atualização. É a lógica dos CVE emitidos para serviços cloud, uma prática que os grandes fornecedores adotaram precisamente para dar visibilidade a falhas que os clientes nunca chegam a «ver» nos seus inventários de vulnerabilidades.
Não é um caso isolado: uma semana de falhas 10.0 na nuvem
O aviso do Entra ID surge no meio de um conjunto invulgarmente denso de correções críticas em serviços cloud da Microsoft. Entre as mais graves contam-se falhas de elevação de privilégios no Azure SQL Database (CVE-2026-69502), Azure Arc (CVE-2026-69555 e CVE-2026-65816) e Exchange Online (CVE-2026-65801), e de execução remota de código na Azure Managed Instance for Apache Cassandra (CVE-2026-65770) e no Entra ID (CVE-2026-69836), todas com pontuação CVSS de 10/10. Foram ainda resolvidas outras sete falhas críticas de elevação de privilégios, incluindo uma segunda no Entra ID (CVE-2026-69851).
| Identificador | Serviço afetado | Tipo |
|---|---|---|
| CVE-2026-69836 | Microsoft Entra ID | Execução remota de código |
| CVE-2026-65770 | Azure Managed Instance for Apache Cassandra | Execução remota de código |
| CVE-2026-65816 | Azure Arc | Elevação de privilégios |
| CVE-2026-69555 | Azure Arc | Elevação de privilégios |
| CVE-2026-65801 | Exchange Online | Elevação de privilégios |
| CVE-2026-69502 | Azure SQL Database | Elevação de privilégios |
Sobre a CVE-2026-65816, o registo público descreve o uso de nome ou referência resolvida incorretamente no Azure Arc, permitindo a um atacante não autorizado elevar privilégios através da rede.
Cronologia conhecida
| Data | Acontecimento |
|---|---|
| Setembro de 2025 | Microsoft corrige a CVE-2025-55241, falha crítica de elevação de privilégios no Entra ID reportada por Dirk-jan Mollema, da Outsider Security |
| 19 de agosto de 2026 | Microsoft resolve mais quatro falhas de gravidade máxima em Azure Arc, Exchange Online e Azure Managed Instance for Apache Cassandra |
| 20 de agosto de 2026 | Publicação do registo da CVE-2026-69836, com base score 10; a Microsoft indica que já tinha sido detetada exploração |
| 21 de agosto de 2026 | Sem indicadores de comprometimento, atribuição ou detalhes de cadeia de ataque publicados |
Não há patch — mas há trabalho de verificação a fazer
A afirmação da Microsoft de que não é necessária qualquer ação por parte do cliente significa que os administradores não têm de instalar correções, alterar configurações ou rodar credenciais especificamente para remediar a CVE-2026-69836. Isso não equivale a ignorar o assunto. Na ausência de IOCs, a recomendação genérica dos analistas passa por revisitar a telemetria de identidade:
- Rever telemetria de segurança de identidade, atividade de contas privilegiadas e comportamentos de autenticação anómalos no período anterior à divulgação de 20 de agosto.
- Monitorizar os registos do Entra ID à procura de alterações suspeitas em service principals, atribuições de funções inesperadas, atividade invulgar de tokens e acessos administrativos anormais.
- Acompanhar alertas relacionados com identidade, atividades invulgares de serviços e alterações que envolvam aplicações empresariais ou identidades privilegiadas.
- Confirmar que os registos de auditoria e de início de sessão do Entra ID estão a ser exportados e retidos por período suficiente para permitir uma investigação retroativa — sem retenção, não há forensia possível.
Porque é que isto importa em Portugal
Este episódio expõe uma dependência que raramente aparece nos mapas de risco das organizações portuguesas: a segurança da camada de identidade é gerida por um terceiro, fora do perímetro e fora do controlo das equipas internas. Quando a falha está no serviço cloud, não há janela de patching a cumprir — mas há a obrigação de perceber se a exposição teve consequências no tenant da organização.
Esse ponto liga-se diretamente ao Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que coloca a gestão de risco da cadeia de fornecimento e a notificação de incidentes significativos no centro das obrigações das entidades abrangidas. Um comprometimento de identidade originado num fornecedor cloud continua a ser um incidente da entidade — e é a entidade que responde perante o regulador. Se dele resultar acesso indevido a dados pessoais, entram em jogo os deveres de notificação previstos no RGPD junto da CNPD.
Vale também acompanhar os canais oficiais nacionais. O CNCS, através do CERT.PT, publica regularmente alertas sobre vulnerabilidades da Microsoft, cruzando os identificadores CVE com o catálogo europeu EUVD da ENISA — como sucedeu, por exemplo, com a falha de elevação de privilégios no Microsoft Defender (CVE-2026-41091/EUVD-2026-31101), que o centro assinalou como estando sob exploração ativa, recomendando atualização imediata. Para PME sem equipa de segurança dedicada, estes alertas continuam a ser a forma mais fiável de saber o que exige ação imediata e o que é apenas ruído.
Perguntas frequentes
Tenho de instalar alguma atualização por causa da CVE-2026-69836?
Não. De acordo com o aviso da Microsoft, os clientes não precisam de instalar patches, alterar configurações ou tomar outras medidas de remediação. A correção foi aplicada pela empresa na infraestrutura do serviço.
A falha chegou a ser explorada contra organizações reais?
A Microsoft divulgou a falha indicando que já tinha sido detetada exploração, mas não revelou quem a explorou, quando começaram os ataques nem a sua dimensão. Sem indicadores públicos, não é possível a terceiros confirmar impacto em tenants específicos.
O que é uma falha de desserialização?
Ocorre quando uma aplicação aceita dados serializados de uma fonte não confiável e os reconstrói sem validação ou salvaguardas adequadas. Pode resultar em execução de código, negação de serviço ou contorno de controlos de acesso.
O que devo verificar no meu tenant Entra ID?
Recomenda-se monitorizar os registos do Entra ID à procura de alterações suspeitas em service principals, atribuições de funções inesperadas, atividade invulgar de tokens e acessos administrativos anormais, garantindo que os registos de auditoria são retidos por tempo suficiente para investigação retroativa.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft (MSRC), pelo registo CVE/NVD e por publicações de segurança que reportaram o aviso.