Microsoft telah menambal kerentanan berskala maksimum di Entra ID, layanan identitas cloud miliknya yang dipakai oleh perusahaan-perusahaan — termasuk banyak exchange dan kustodian kripto — untuk mengelola akses karyawan dan sistem. Dilacak sebagai CVE-2026-69836, celah ini meraih skor CVSS 10,0, rating tertinggi yang bisa dicapai, artinya bisa dieksploitasi lewat jaringan tanpa memerlukan hak akses maupun interaksi pengguna sama sekali.
Bug ini bersumber dari deserialisasi yang tidak aman: ketika sebuah aplikasi mengubah data yang masuk menjadi format yang bisa digunakan tanpa memvalidasinya terlebih dahulu, penyerang bisa merancang input berbahaya yang justru dieksekusi sebagai kode, bukan sekadar dibaca sebagai data biasa. Dalam kasus Entra ID, ini berarti penyerang jarak jauh yang tidak terautentikasi berpotensi menjalankan kode apa pun di dalam infrastruktur identitas Microsoft.
Ditambal Sebelum Publik Sempat Mengetahuinya
Yang membuat kasus ini tidak biasa adalah urutan kejadiannya. Microsoft mengidentifikasi dan memperbaiki celah ini sebelum bahkan mempublikasikan CVE-nya, artinya kerentanan ini tidak pernah terungkap ke publik dalam kondisi yang masih bisa dieksploitasi. Karena Entra ID adalah layanan yang dioperasikan dan ditambal langsung oleh Microsoft secara terpusat, tidak ada pembaruan di sisi pelanggan yang diperlukan — perbaikannya cukup diluncurkan di backend.
Juru bicara Microsoft menyatakan perusahaan "mengidentifikasi dan menangani masalah ini dengan sebuah perbaikan, lalu merilis CVE-2026-69836 demi transparansi yang lebih besar." Advisory Microsoft sempat mencantumkan status eksploitasi celah ini sebagai "Ya" sebelum dikoreksi menjadi "Tidak", perubahan yang menurut Microsoft "sekadar bersifat informasional", sambil menegaskan bug ini tidak pernah dieksploitasi di dunia nyata sebelum patch dirilis.
Baca juga: Eksploitasi Sandbox Cetak SAND Palsu $49 Miliar, Kerugian Nyata Kecil
Kenapa Celah Identitas Ini Penting di Luar Tembok Microsoft
Entra ID menopang alur login untuk sebagian besar software enterprise, termasuk perangkat internal di perusahaan kripto yang mengandalkan cloud Microsoft untuk autentikasi dan kontrol akses staf mereka. Celah seberat ini pada lapisan tersebut jadi pengingat bahwa eksposur industri terhadap peretasan besar tidak hanya terbatas pada smart contract dan bridge — tapi juga menjangkau penyedia infrastruktur identitas dan cloud yang jadi fondasi perusahaan-perusahaan kripto. Ini pelajaran yang sama yang mendorong upaya red-teaming sukarela untuk memperkuat basis kode Bitcoin sendiri setelah peretasan $130 juta awal tahun ini, dan sejalan dengan kepanikan menahan dampak setelah eksploitasi bridge The Sandbox yang mencetak miliaran token tak berjaminan: bug berskor 10 makin sering bersembunyi di lapisan infrastruktur, bukan cuma di kode aplikasi yang selama ini jadi sorotan semua orang.
Untuk saat ini, Microsoft menyatakan perbaikannya sudah diterapkan sepenuhnya dan tidak ada tindakan yang perlu dilakukan pelanggan Entra ID. Perusahaan belum mengungkapkan siapa yang menemukan celah ini atau apakah temuan itu datang lewat program bug bounty mereka.
