El dijous 20 d'agost Microsoft va publicar una fitxa de seguretat amb la puntuació màxima: CVE-2026-69836, execució remota de codi a Entra ID. El divendres, la premsa del sector obria amb «explotat en atacs». Aquell mateix divendres, sense nota de premsa ni titular, Microsoft va revisar la fitxa. La versió 1.1 diu, paraula per paraula: «Corrected Exploited to No. This vulnerability was not exploited in the wild. This is an informational change only.»
Un canvi merament informatiu. D'acord. Però l'interessant d'aquest CVE no és el vaivé d'una casella, que passa i no és notícia. L'interessant és el que queda quan la pols s'assenta: una vulnerabilitat crítica a la capa que autentica tota la teva empresa, que tu no has pedaçat, que no pots comprovar i que no apareixerà a cap informe de vulnerabilitats que lliuris aquest trimestre. I tot i així, aquí hi ha feina teva. Només que no és la que et penses.
El que diu la fitxa (i com llegir-la tu mateix)
La Security Update Guide de Microsoft té una API pública, sense clau i sense registre. No cal esperar que algú t'ho resumeixi: la font primària són dues línies de terminal.
curl -s "https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability/CVE-2026-69836" \
| jq '{exploited, customerActionRequired, baseScore, temporalScore,
revisions: [.revisions[] | {version, revisionDate, unformattedDescription}]}'
El que retorna, resumit:
- ✓Títol: «Microsoft Entra ID Remote Code Execution Vulnerability». CWE-502, deserialització de dades no confiables.
- ✓Publicada el 20-ago-2026. Revisió 1.1 el 21-ago-2026, la que corregeix
ExploitedaNo. - ✓
baseScore: 10.0·temporalScore: 8.7·publiclyDisclosed: No. - ✓
customerActionRequired: false. Aquest és el camp que ho canvia tot.
Si gestiones inquilins de tercers, això són vint línies de cron, no una subscripció a un servei de threat intel. I té un avantatge sobre qualsevol resum: el camp revisions t'explica quan el fabricant ha canviat d'opinió, que és exactament la dada que cap titular arrossega després.
El 10.0 i la lletra petita del vector
El vector complet és CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C. Traduït: per xarxa, complexitat baixa, sense credencials i sense que ningú hagi de clicar res. Però el que l'empeny fins al 10.0 rodó és S:C, scope changed: l'impacte se surt del component vulnerable. En un servei d'identitat multi-inquilí, aquesta lletra és la que fa respecte de debò, molt més que la xifra.
La cua del vector és la que baixa el temporal a 8.7: E:U (no consta codi d'explotació), RL:O (arranjament oficial disponible) i RC:C (confirmat). L'índex d'explotabilitat de Microsoft, a més, marca aquest CVE com «Exploitation Less Likely». D'aquesta etiqueta ja vam escriure fa dos dies a propòsit d'una altra fallada, i el matís d'aleshores continua valent: descriu una probabilitat, no una promesa. Aquí, a més, l'etiqueta importa menys del que és habitual, perquè el termini de pedaçat no el decideixes tu.
Un CVE sense versió, sense KB i sense pedaç
La FAQ de la fitxa respon a la pregunta òbvia —«per què no hi ha enllaços a una actualització?»— amb aquesta frase: «This vulnerability has already been fully mitigated by Microsoft. There is no action for users of this service to take. The purpose of this CVE is to provide further transparency.»
Convé dir-ho clar, perquè no tot és queixa: això és Microsoft fent el correcte. Des del juny de 2024 publica CVE de vulnerabilitats crítiques dels seus serveis al núvol encara que el client no hagi de fer absolutament res. Abans d'aquell canvi, una fallada així s'arreglava en silenci i ningú de fora se n'assabentava mai. Que existeixi una fitxa, amb el seu CWE, el seu vector i el seu historial de revisions, és una millora real sobre l'estat anterior del món.
L'efecte secundari, en canvi, no és de Microsoft: és teu. La teva gestió de vulnerabilitats funciona amb producte, versió i pedaç. Aquest CVE no té cap de les tres coses. No hi ha una versió afectada per buscar a l'inventari ni un KB per confirmar com a instal·lat. És una vulnerabilitat crítica que, operativament, es comporta com una notícia.
La pregunta que sí que és teva: te n'hauries assabentat?
La fitxa no diu des de quan existia la fallada ni quan es va corregir. Només diu que ja està mitigada. Això deixa una finestra d'exposició de durada desconeguda en algun punt del passat, i una pregunta molt concreta sobre la taula: si algun dia calgués respondre «ens va afectar?», amb què la respondries?
Amb els registres d'activitat d'Entra ID. I la seva retenció per defecte, segons la documentació de Microsoft, és aquesta:
| Registre | Entra ID Free | P1 | P2 |
|---|---|---|---|
| Auditoria | 7 dies | 30 dies | 30 dies |
| Inicis de sessió | 7 dies | 30 dies | 30 dies |
| Inicis de sessió de risc | 7 dies | 30 dies | 90 dies |
| Registres d'activitat de Graph | No disponible (només P1/P2) | No es retenen si no els exportes | |
Set dies. Aquest és l'horitzó del que veus al portal d'Entra amb llicència Free, que són molts més inquilins dels que la gent es pensa. I hi ha un detall que s'endú per davant el pla B de molta gent: la retenció no és retroactiva. La documentació és explícita que, en pujar de Free a premium, només veus el que encara estigui dins la finestra de set dies; el que ja va caducar no es recupera. Comprar la llicència el dia de l'ensurt no et torna el mes passat.
Matís important, i juga a favor teu: aquesta taula és la del portal d'Entra. El registre d'auditoria unificat de Microsoft Purview és una altra cosa i no depèn de la teva llicència d'Entra. Allà, els esdeveniments d'inici de sessió aguanten 180 dies amb Audit (Standard), i la política per defecte d'Audit (Premium) reté un any els registres de la càrrega de treball AzureActiveDirectory — això sí, només per als usuaris amb llicència E5 o complement equivalent; la resta es queden en 180 dies. Traduït: la teva memòria real és quasi segur més gran que la de la taula. Però viu en un altre portal, sota una altra llicència i amb una altra eina de consulta. Que existeixi no serveix de res el dia que hi ha pressa si ningú de l'equip sap que hi és.
Que quedi clar el que no estem dient: no estem insinuant que a ningú li hagin entrat per aquí. La fitxa diu que no hi va haver explotació i no tenim cap motiu per dubtar-ne. El que diem és una altra cosa, i és independent d'aquest CVE concret: el dia que una d'aquestes caselles es corregeixi en el sentit contrari, la resposta a «ens va afectar?» no la té Microsoft. La tens tu, repartida entre dos portals, i amb una data de caducitat que gairebé ningú ha mirat.
El checklist que sí que depèn de tu
Res d'això és una reacció a aquest CVE. És el que fa que el següent t'enxampi en una altra posició:
- 1Treu els registres d'Entra on manis tu. Els diagnostic settings de l'inquilí els envien a Log Analytics, a un compte d'emmagatzematge o a un Event Hub si vols portar-los a un SIEM de tercers. A partir d'aquí la retenció la decideix el teu criteri (o la teva normativa), no la teva llicència.
- 2Inventaria els service principals i els registres d'aplicació, amb les seves credencials i les seves caducitats. És el lloc on es queda a viure qui passa per la capa d'identitat, i el lloc que gairebé ningú mira. És la mateixa feina d'higiene de què parlàvem a el directori amb més fitxes que empleats.
- 3Revisa els permisos consentits, i sobretot els d'aplicació davant dels delegats. Un permís d'aplicació no necessita que cap usuari iniciï sessió per continuar funcionant.
- 4Compta els teus administradors globals de debò, no els que et penses tenir. I tingues un compte trenca-vidres documentat, exclòs de les polítiques que et podrien deixar fora, i vigilat precisament per això.
- 5L'accés condicional és el control que continua sent teu: s'aplica a cada petició d'accés passi el que passi a dins.
I ara la part honesta, perquè si no la diem nosaltres la dirà el primer que llegeixi la fitxa amb atenció: cap d'aquests cinc punts hauria impedit el CVE-2026-69836. La fallada era dins del servei de Microsoft, no a la teva configuració. Cap política d'accés condicional atura una deserialització insegura al codi del proveïdor. Aquesta llista no serveix per evitar la fallada; serveix per poder respondre després, que és una cosa diferent i, a la pràctica, l'única que estava a la teva mà.
El que NO farem amb això
- ✗No et vendrem una auditoria d'aquest CVE. No hi ha res per auditar: la fallada era al costat del proveïdor i ja no hi és. Qui et truqui aquesta setmana oferint-te revisar la teva exposició al CVE-2026-69836 t'està venent fum amb número de sèrie.
- ✗Tampoc et direm que et muntis el teu propi directori. Seria la conclusió fàcil i seria dolenta: operar identitat pròpia, amb la seva alta disponibilitat, el seu pedaçat i la seva gent de guàrdia, surt pitjor per a gairebé tothom. El núvol no és el problema.
- ✗I no farem veure que el repartiment de responsabilitats és un diagrama. És, a la pràctica, la llista de preguntes que pots contestar tu sol. Tot el que quedi fora d'aquesta llista és confiança — legítima, però confiança. De l'altre costat d'aquesta mateixa frontera parlàvem quan el cercador de Microsoft 365 va deixar de funcionar i l'SLA no ho cobria.
En curt
El CVE-2026-69836 no et demana res. No hi ha pedaç per aplicar, ni finestra per negociar, ni versió per perseguir per l'inventari. Per això és un bon dia per mirar l'altra cosa: quanta memòria té el teu inquilí, qui té credencials a dins i quantes de les preguntes que et faria un client —o un jutge— pots contestar sense trucar a ningú. Aquesta feina no caduca quan es corregeix una casella. El nostre enfocament de Zero Trust i de Microsoft 365 comença just aquí: pel que pots demostrar, no pel que et prometen.
Fonts (primàries, consultades el 22-ago-2026): la fitxa del CVE-2026-69836 —puntuacions, vector, CWE-502, camps exploited i customerActionRequired, text de la FAQ i historial de revisions 1 i 1.1— a la Security Update Guide de Microsoft i la seva API pública (api.msrc.microsoft.com/sug/v2.0); la política de publicar CVE de serveis al núvol sense acció del client, a «Toward greater transparency: Unveiling Cloud Service CVEs» (MSRC, juny 2024); els terminis de retenció i l'advertiment que no són retroactius, a la referència de retenció de dades de Microsoft Entra (Microsoft Learn); els 180 dies d'Audit (Standard) i l'any que la política per defecte d'Audit (Premium) reté la càrrega de treball AzureActiveDirectory per a usuaris E5, a les polítiques de retenció d'auditoria de Microsoft Purview.
Saps quants dies de registre guarda el teu inquilí d'Entra ID?
A everyWAN despleguem i assegurem entorns de Microsoft 365: MFA, accés condicional i Secure Score. Si no saps respondre la pregunta de dalt, és un bon lloc per on començar — i sense vendre'ns una llicència pel camí, perquè no som resellers de ningú.
Parlar amb everyWAN
Microsoft 365
ES 
CAT 
EN