Microsoft, bulut kimlik platformu Entra ID’nin cihaz kayıt hizmetinde (Entra Device Registration) kritik güvenlik açığını duyurdu. CVE-2026-109469 kodlu zafiyet, CVSS 3.1 ölçeğinde en yüksek puan olan 10.0 (Kritik) derecelendirildi.

Zafiyetin detayları

Açık, “kullanıcı tarafından kontrol edilen anahtar üzerinden yetkilendirme atlatma” türünde (CWE-639). Microsoft’un açıklamasına göre açık, yetkisiz saldırganın ağ üzerinden yetkilerini yükseltmesine olanak tanıyor. CVSS vektörü zafiyetin ciddiyetini gösteriyor:

  • Saldırı ağ üzerinden, düşük karmaşıklıkla yapılabiliyor.
  • Saldırganın herhangi yetkiye ya kullanıcı etkileşimine ihtiyacı.
  • Etkisi zafiyetli bileşenle sınırlı kalmıyor (scope: changed). Gizlilik, bütünlük erişilebilirlik üzerindeki etkisi yüksek.

Entra Device Registration, cihazların kurumun Entra ID dizinine kaydedilmesini (Entra join / register) sağlayan hizmet. katmandaki yetki atlatma açığı, cihaz güvenine dayalı Koşullu Erişim (Conditional Access) politikalarını dolaylı olarak riske atabilir.

Müşteri tarafında aksiyon gerekiyor ?

Zafiyet, yalnızca Microsoft tarafından barındırılan bulut hizmetini etkiliyor. CVE kaydı nedenle “exclusively-hosted-service” olarak etiketlendi resmi düzeltmenin yayımlandığı belirtiliyor. Microsoft tür bulut zafiyetlerini kendi altyapısında kapatıyor. Kurumların herhangi yama yüklemesi gerekmiyor. Bazı güvenlik kaynakları, Microsoft’un açığın kamuya açık olarak bildirilmediğini aktif olarak istismar edilmediğini belirttiğini aktarıyor. CISA’nın aktif istismar edilen zafiyetler (KEV) listesinde yer almıyor.

Takvim
  • 12 Ekim 2026: CVE numarası rezerve edildi
  • 5 Kasım 2026: Microsoft zafiyeti duyurdu
  • 6 Kasım 2026: NVD’ yayımlandı (durum: “Analiz Bekleniyor”)
Önerilen kontroller

Yama gerekmese yöneticilerin geçmişe dönük olası kötüye kullanım izlerini kontrol etmesi öneriliyor:

  • Entra yönetim merkezinde Cihazlar > Tüm cihazlar ekranında tanınmayan veya yakın zamanda kaydedilmiş cihazları inceleyin.
  • Entra denetim günlüklerinde (Audit Logs) Device kategorisindeki olağan dışı kayıt değişiklikleri gözden geçirin.
  • Cihaz kayıt/join ayarlarının (kimlerin cihaz kaydedebileceği, kullanıcı başına cihaz limiti) cihaz uyumluluğuna dayalı Koşullu Erişim politikalarının güncel olduğunu doğrulayın.

    • NVD – CVE-2026-109469
    • Microsoft MSRC – CVE-2026-109469
    • nFlo – CVE-2026-109469 in Entra Device Registration
    • TheHackerWire – CVE-2026-109469
    • SANS Stormcast, 9 Kasım 2026
    • OpenCVE – CVE-2026-109469
    BUNLAR DA İLGİNİZİ ÇEKEBİLİR
    Jenna Ortega ve Rose Byrne "Nasty" Filmi İçin Bir Araya Geliyor
    Beşiktaş'tan transferde Luis Henrique hamlesi!
    Rize 2 maç yapacak