Microsoft закрыла пять критических дыр в своих облачных сервисах, включая Entra ID, Azure Arc, Exchange Online и Azure Managed Instance for Apache Cassandra. Самый опасный баг, помеченный как CVE-2026-69836, получил максимальные 10 баллов по шкале CVSS, то есть эксплуатировать его можно без каких-либо условий.

Проблема в Entra ID связана с механизмом аутентификации: злоумышленник мог обойти проверку подлинности и получить доступ к чужим учётным записям. В Azure Arc уязвимость позволяла выполнить произвольный код с повышенными привилегиями, а в Exchange Online — прочитать почту без прав на это.

Остальные две дыры в Apache Cassandra и ещё одна в Azure Arc тоже имели статус критических, но с меньшим рейтингом. Microsoft уже выпустила патчи для всех затронутых компонентов, но детали эксплойтов пока не раскрывает.

Пользователям облачных сервисов стоит как можно быстрее проверить, применились ли обновления автоматически, особенно если они используют Entra ID для корпоративных логинов. Задержка с установкой патча может привести к серьёзной утечке данных, учитывая максимальную оценку уязвимости.