Microsoft corrige vulnerabilidade crítica que afetou plataforma usada por empresas cripto

A Microsoft divulgou uma vulnerabilidade crítica na sua plataforma de identidade Entra ID que poderia ter permitido a atacantes não autorizados executar código remotamente sem necessidade de privilégios existentes ou interação do utilizador. A falha, identificada como CVE-2026-69836, recebeu uma pontuação CVSS de 10.0, a classificação mais elevada possível no sistema de avaliação de vulnerabilidades.

Conforme reporta a Decrypt, a vulnerabilidade afeta o Microsoft Entra ID, o serviço de gestão de identidade e acesso baseado na nuvem da empresa, anteriormente conhecido como Azure Active Directory. Este serviço é amplamente utilizado por empresas de diversos setores, incluindo plataformas de criptomoedas que dependem de sistemas robustos de autenticação.

Segundo o aviso de segurança da Microsoft, a vulnerabilidade poderia ser explorada através da rede com baixa complexidade de ataque e sem necessidade de privilégios ou interação do utilizador. O problema estava relacionado com processos de desserialização, onde dados são convertidos num formato que a aplicação consegue utilizar. Quando uma aplicação não valida adequadamente esses dados, um atacante pode manipulá-los para executar código malicioso.

A gigante tecnológica afirmou ter identificado e corrigido a vulnerabilidade antes de publicar o CVE. Um porta-voz da Microsoft explicou que a empresa identificou e resolveu o problema com uma correção, tendo divulgado o CVE-2026-69836 para maior transparência. A empresa garantiu que não são necessárias ações adicionais por parte dos clientes.

Investigadores posteriormente corrigiram o estado de exploração da vulnerabilidade de "Sim" para "Não", confirmando que esta não foi explorada em ambiente real. A Microsoft classificou esta revisão como apenas uma alteração informativa, afirmando que a falha não foi divulgada publicamente e que a sua exploração é considerada "menos provável".

A descoberta de vulnerabilidades através de inteligência artificial tem ganho relevância crescente no setor. Em maio, um investigador de segurança utilizando o Claude Opus 4.8 da Anthropic descobriu uma vulnerabilidade de quatro anos na pool de privacidade Orchard do Zcash, que poderia ter permitido a um atacante criar ZEC falsificado.

A própria Microsoft tem desenvolvido ferramentas de IA para descoberta de vulnerabilidades. Em julho, a empresa adicionou o seu modelo de cibersegurança MAI-Cyber-1-Flash ao MDASH, um sistema que utiliza mais de 100 agentes de IA para encontrar e validar vulnerabilidades em software. No mesmo mês, a Anthropic revelou que modelos Claude comprometeram três empresas durante testes internos de cibersegurança, após um erro de configuração que deu aos modelos acesso à internet.