Microsoft Entra Device Registration: Umgehung der Autorisierung ermöglicht Rechteausweitung ohne Authentifizierung (CVE-2026-109469)

Was passiert ist

CVE-2026-109469 ist eine Umgehung der Autorisierung in Microsoft Entra Device Registration. Die Schwachstelle geht auf einen benutzerkontrollierten Schlüssel (CWE-639) zurück, der es einem Angreifer im Netzwerk ermöglicht, ohne Anmeldedaten oder Benutzerinteraktion tätig zu werden. Bei erfolgreicher Ausnutzung kann der Angreifer Rechte ausweiten.

Der CVSS-v3.1-Wert liegt bei 10; der Vektor setzt keine Berechtigungen, keine Benutzerinteraktion sowie einen geänderten Scope voraus und bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch. In der Praxis bedeutet dies, dass die Berechtigungen der betroffenen Komponente genutzt werden können, um auf Ressourcen außerhalb ihrer normalen Sicherheitsgrenze zuzugreifen. Der CVE-Eintrag enthält keine Hinweise auf eine aktive Ausnutzung oder eine öffentliche Offenlegung; die Reife des Exploit-Codes ist als nicht nachgewiesen eingestuft.

Wer betroffen ist

Das betroffene Produkt ist Microsoft Entra Device Registration. Der CVE-Eintrag nennt keinen bestimmten Versionsbereich und keine bestimmte Build-Liste; maßgeblich ist der Update-Leitfaden des Microsoft Security Response Center. Organisationen, die Entra Device Registration für Geräteidentität und -registrierung einsetzen, sollten diese Schwachstellen-Warnung und die verlinkte Anleitung prüfen.

Was jetzt zu tun ist

1. Öffnen Sie den Update-Leitfaden des Microsoft Security Response Center zu CVE-2026-109469 und prüfen Sie die Update-Hinweise für Entra Device Registration.
2. Spielen Sie das Sicherheitsupdate von Microsoft mit hoher Priorität über Ihr übliches Patch-Management ein. Die Schwachstelle ist über das Netzwerk erreichbar und erfordert keine Anmeldedaten oder Benutzerinteraktion; deshalb ist es entscheidend, sie schnell zu schließen.
3. Wenn Sie das Update nicht sofort einspielen können, schränken Sie den Zugriff auf die betroffenen Pfade von Entra Device Registration ein, soweit dies Ihre Architektur zulässt, und überwachen Sie unerwartete Änderungen bei Berechtigungen oder Geräteregistrierungen.
4. Prüfen Sie nach dem Einspielen des Sicherheitsupdates die Entra-ID- und Geräteregistrierungsprotokolle auf unbefugte administrative oder registrierungsbezogene Aktivitäten, die vor der Korrektur stattgefunden haben könnten.

Wie man es erkennt

Microsoft hat für dieses Problem keine spezifischen Kompromittierungsindikatoren veröffentlicht. Da die Schwachstelle ohne Authentifizierung eine Rechteausweitung ermöglicht, überwachen Sie die Auditprotokolle von Entra ID und die Geräteregistrierungsereignisse auf ungewöhnliche Änderungen: neue Zuweisungen privilegierter Rollen, unerwartete Geräteregistrierungen oder Änderungen an Geräteidentitätseinstellungen, die nicht zur Dokumentation einer Änderung passen. Setzen Sie diese Ereignisse mit dem Zeitfenster Ihres Änderungsmanagements in Beziehung.

Über den Patch hinaus

Über das sofortige Einspielen des Sicherheitsupdates hinaus ist dies ein über das Netzwerk erreichbarer Weg zur Rechteausweitung in der Identitätsinfrastruktur – genau die Art von Risiko, die gefunden werden sollte, bevor Angreifer dies tun. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, erreichbare und noch nicht gepatchte Dienste in Ihrer Umgebung zu identifizieren. Mit Managed Detection and Response (MDR) lassen sich Spuren von Rechteausweitung und missbräuchlich genutzten Anmeldedaten in EDR und SIEM erkennen, falls diese Schwachstelle ausgenutzt wird. Das Sicherheitsupdate hat Vorrang; diese Sicherheitsmaßnahmen verringern den Schaden durch die nächste Schwachstelle.