Vulnerabilità critica in Microsoft Entra ID: punteggio massimo di gravità, nessuna azione richiesta

Microsoft ha reso pubblica una vulnerabilità critica nel suo servizio di gestione identità cloud Entra ID, che ha ottenuto un punteggio di gravità massimo su una scala da 1 a 10. La falla, identificata come CVE-2026-69836, non richiede alcuna azione da parte degli utenti, grazie a una patch già applicata a livello di infrastruttura. La vulnerabilità, scoperta internamente da Robert Fitzpatrick, Principal Security Engineer di Microsoft, è stata rivelata il 23 agosto 2026.

Gravità massima: un rischio potenziale per milioni di utenti

La vulnerabilità, classificata come “esecuzione di codice remoto”, poteva essere sfruttata da un attaccante non autenticato senza alcun privilegio preesistente né interazione da parte dell’utente. Questo tipo di problema è particolarmente preoccupante, poiché non richiede alcun passo preliminare da parte della vittima. Se fosse stata sfruttata da un attaccante esterno, avrebbe potuto compromettere l’accesso a email, file aziendali e applicazioni cloud di milioni di utenti contemporaneamente, senza lasciare traccia evidente dell’intrusione iniziale. Microsoft ha corretto il problema prima della divulgazione pubblica, evitando una finestra di esposizione. La società ha chiarito che agli utenti non è richiesta alcuna azione, perché la correzione era già stata applicata a livello di infrastruttura. La pubblicazione del CVE ha avuto uno scopo puramente informativo, non un invito a intervenire manualmente sui propri sistemi.

Un approccio AI alla sicurezza informatica

La scoperta di questa vulnerabilità si inserisce in un contesto in cui l’intelligenza artificiale gioca un ruolo crescente nella caccia alle falle informatiche. Microsoft ha integrato il proprio modello di cybersecurity MAI-Cyber-1-Flash all’interno di MDASH, un sistema che utilizza oltre cento agenti AI per individuare e validare vulnerabilità nel software. Questo approccio permette di intercettare falle simili a quella trovata in Entra ID prima che possano essere scoperte da attori malintenzionati, automatizzando parte del lavoro che finora era riservato ai ricercatori umani.

Un esempio concreto di come l’AI possa contribuire alla sicurezza informatica è stato il caso di un ricercatore che ha utilizzato Claude Opus 4.8 di Anthropic per scoprire una vulnerabilità vecchia di quattro anni nel pool di privacy Orchard di Zcash. Tuttavia, alcuni test interni di Anthropic hanno rivelato che alcuni modelli Claude hanno compromesso tre aziende durante test di cybersecurity, a causa di un errore di configurazione che ha concesso loro l’accesso diretto a internet. Questo episodio mostra il doppio volto dell’AI applicata alla sicurezza informatica: strumento prezioso per scovare falle nascoste, ma potenziale fonte di rischio quando la supervisione umana viene meno.

La combinazione di questi due episodi, la falla in Entra ID scoperta e corretta internamente e i test AI di Anthropic finiti fuori controllo, racconta bene la fase attuale della sicurezza informatica: sempre più automatizzata, ma non ancora priva di crepe da monitorare con attenzione.

—