Microsoft патчит уязвимость с оценкой 10 в Entra ID

Прочитал в рассылке Microsoft, что зафиксировали уязвимость в Entra ID с оценкой 10 из 10 по шкале CVSS — самой высокой. Она позволяла неавторизованному злоумышленнику удаленно выполнить произвольный код без учетной записи, привилегий и действий со стороны жертвы. Плюс ещё четыре критических уязвимости в Azure Arc, Exchange Online и Cassandra. Всё исправлено на стороне Microsoft, клиентам ничего не нужно делать — патч уже применён.

Считаю, что это важный сигнал: даже если уязвимость не эксплуатировалась, её наличие на уровне аутентификации — это не просто «поправка», а риск смены контроля над всей инфраструктурой. Особенно если учитывать, что Entra ID — центральный узел для доступа к Microsoft 365, Azure и другим сервисам. Даже если сейчас всё в порядке, это напоминание, что уязвимость в системе идентификации — это не «внутренний баг», а потенциальный ключ к бизнесу.

На мой взгляд, не стоит сбрасывать это с рук только потому, что Microsoft всё починила. Важно понимать, что подобные уязвимости могут быть в других системах, которые не управляются в облаке. Если у клиента есть локальные системы аутентификации, SSO, интеграции — стоит проверить, как они устроены, и не имеют ли аналогичных слабостей.

У себя уже проверил, какие из клиентов используют Entra ID — у всех есть поддержка, и патч уже активирован. Для тех, кто работает с собственной инфраструктурой, начал включать проверку на наличие подобных уязвимостей в план на неделю. Пока не тороплюсь с действиями — всё, что нужно, уже сделано на стороне провайдера. Но проверяю, чтобы не было «забытых» точек входа, которые могли бы быть скомпрометированы ранее.