Microsoft vừa vá một lỗ hổng CVSS 10.0 trong Entra — dịch vụ quản lý danh tính đám mây của hãng — nhưng câu chuyện lần này khác thường: khách hàng không cần làm gì cả.

Lỗi là gì

CVE-2026-109469 là lỗi authorization bypass (CWE-639) trong cơ chế Entra Device Registration: kẻ tấn công có thể dùng một key do chính mình kiểm soát để đăng ký thiết bị giả mạo vào tenant của nạn nhân, từ đó vượt qua các kiểm tra danh tính dựa trên thiết bị — bao gồm cả Conditional Access.

  • CVSS 3.1 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H), temporal 8.7.
  • Microsoft công bố ngày 05–06/11/2026.
  • Không có PoC công khai, chưa có bằng chứng khai thác thật. Mình kiểm chứng trực tiếp feed CISA KEV sáng nay (catalog 2026.11.10): CVE này chưa vào KEV.

Vì sao bạn không cần làm gì

Đây là lỗi trong dịch vụ do Microsoft vận hành, không phải phần mềm bạn cài trên máy mình. Microsoft cho biết đã khắc phục hoàn toàn phía dịch vụ và ghi rõ "not exploited" — không có bản vá để tải, không có cấu hình nào để đổi. Nếu bạn đang dùng Entra, lỗi đã được xử lý xong ở phía Microsoft rồi.

Vậy sao vẫn đáng đăng?

Vì hai lý do. Thứ nhất, đây là lỗi 10.0 trong một dịch vụ danh tính mà hàng triệu tổ chức phụ thuộc — kiểu lỗi mà nếu bị khai thác trước khi vá thì hậu quả là toàn bộ tenant. Thứ hai, nó cho thấy một mẫu tấn công đang lặp lại: Device Registration từng bị lạm dụng để vòng qua Conditional Access — thiết bị "ma" (phantom device), lừa device-code (nhóm Storm-2372 từng dùng) — nên dù lỗi này đã vá xong, các admin vẫn nên rà lại chính sách của mình: chặn device code flow khi không cần, và yêu cầu MFA khi đăng ký thiết bị mới. Đó là gợi ý tăng cường chung, không phải yêu cầu của Microsoft cho vụ này.

Đừng nhầm với hai CVE PHP cùng dãy số (CVE-2026-109618/109619, lỗi PHP2Shell) — diễn đàn đã đăng ở topic 41, hoàn toàn khác.

Nguồn: