KUTIM-CSIRT menyampaikan informasi mengenai CVE-2026-69836, kerentanan pada Microsoft Entra ID — layanan identitas dan pengelolaan akses berbasis cloud milik Microsoft, yang sebelumnya dikenal sebagai Azure Active Directory. Kerentanan ini berskor CVSS 10,0 (Critical), skor tertinggi yang mungkin diberikan.
Kabar baiknya lebih dahulu: Microsoft menyatakan kerentanan ini telah dimitigasi sepenuhnya di sisi infrastruktur layanan Entra ID. Karena Entra ID adalah layanan cloud yang dikelola vendor, pengguna tidak perlu memasang patch atau pembaruan apa pun secara manual. Meski demikian, advisory ini tetap perlu diperhatikan — bukan untuk menambal, melainkan untuk memastikan tidak ada penyalahgunaan yang terjadi sebelum mitigasi diterapkan.
Ikhtisar
CVE-2026-69836 adalah kerentanan Deserialization of Untrusted Data (CWE-502) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
Kerentanan terjadi karena data yang berasal dari sumber tidak tepercaya diproses kembali menjadi objek di dalam aplikasi tanpa validasi yang memadai. Penyerang dapat mengirimkan data yang telah dimodifikasi sedemikian rupa sehingga sistem memprosesnya sebagai objek atau instruksi berbahaya, dan pada akhirnya menjalankan kode pilihan penyerang.
Dampak
- Penyerang dari jarak jauh, tanpa autentikasi dan tanpa interaksi pengguna, berpotensi menjalankan kode (remote code execution) melalui jaringan.
- Nilai
S:C(Scope: Changed) menandakan dampaknya melampaui batas komponen yang rentan. Pada layanan identitas, ini adalah dampak terburuk yang mungkin terjadi: Entra ID merupakan sumber kepercayaan bagi seluruh layanan yang bergantung padanya. - Kerahasiaan, integritas, dan ketersediaan layanan serta sumber daya yang terhubung dengan Entra ID sama-sama berisiko (
C:H/I:H/A:H).
Sistem yang Terdampak
| Produk | Versi Terdampak | Status Perbaikan |
|---|---|---|
| Microsoft Entra ID (layanan cloud) | Seluruh penyewa (tenant) sebelum mitigasi sisi layanan diterapkan Microsoft | Sudah dimitigasi Microsoft di sisi infrastruktur — tidak ada tindakan pemasangan patch bagi pelanggan |
Berbeda dengan perangkat lunak yang dipasang sendiri, tidak ada nomor versi yang bisa diperiksa pelanggan di sini. Yang dapat dan perlu dilakukan pelanggan adalah pemeriksaan jejak aktivitas, bukan pembaruan.
Detail Teknis
Serialisasi adalah proses mengubah objek di dalam program menjadi rangkaian data yang dapat dikirim atau disimpan; deserialisasi adalah kebalikannya — membangun kembali objek dari rangkaian data tersebut. Masalah muncul ketika data yang dideserialisasi berasal dari pihak yang tidak tepercaya: proses pembangunan ulang objek dapat memicu pemanggilan fungsi tertentu di dalam aplikasi, dan penyerang yang memahami struktur internal aplikasi dapat menyusun data yang membuat rangkaian pemanggilan itu berujung pada eksekusi kode.
Inilah sebabnya CWE-502 secara konsisten menempati peringkat atas dalam daftar kelemahan paling berbahaya: dampaknya langsung ke eksekusi kode, sementara titik masuknya sering berupa data yang tampak biasa saja.
Karena Entra ID adalah layanan multi-penyewa yang dikelola terpusat, perbaikan diterapkan sekali di sisi Microsoft dan langsung berlaku bagi seluruh pelanggan — sebuah keuntungan model cloud. Konsekuensinya, pelanggan juga tidak punya kendali atas kapan mitigasi itu diterapkan, sehingga terdapat rentang waktu antara kerentanan muncul dan mitigasi berlaku yang perlu diperiksa jejaknya.
Rekomendasi
Tidak ada patch yang perlu dipasang. Langkah berikut bersifat verifikasi dan pengamanan tambahan, sesuai imbauan BSSN:
- Periksa dan pantau log Entra ID — khususnya sign-in log dan audit log — untuk mendeteksi autentikasi atau perubahan konfigurasi yang tidak wajar, terutama pada periode sebelum 20 Agustus 2026.
- Tinjau perubahan pada privileged role: penambahan anggota Global Administrator atau peran istimewa lain yang tidak melalui prosedur resmi merupakan indikator kuat penyalahgunaan.
- Audit service principal dan aplikasi terdaftar yang terhubung ke Entra ID. Periksa kredensial aplikasi (client secret dan sertifikat) yang ditambahkan tanpa permintaan resmi — ini adalah cara paling umum penyerang mempertahankan akses setelah celah awal ditutup.
- Aktifkan Multi-Factor Authentication (MFA) untuk seluruh pengguna, tanpa kecuali pada akun administratif.
- Terapkan Conditional Access Policy untuk akun sensitif, misalnya pembatasan berdasarkan lokasi jaringan atau kepatuhan perangkat.
- Terapkan prinsip least privilege pada akun administratif: berikan hanya peran seminimal yang dibutuhkan, dan gunakan aktivasi peran sementara bila tersedia.
- Rotasi kredensial aplikasi dan service principal yang bersifat kritis sebagai langkah kehati-hatian.