Microsoft corrige une faille de sécurité critique dans Entra ID – un exploit noté au maximum sur l'échelle CVSS

Cela donne effectivement des frissons aux responsables informatiques, n’est-ce pas? Microsoft vient de colmater une faille de sécurité particulièrement grave dans Entra ID (anciennement Azure Active Directory), si dangereuse qu’elle a obtenu la note maximale de 10/10 sur l’échelle CVSS. Pour ceux qui se demandent ce que cela signifie: oui, c’est aussi mauvais que ça en a l’air.
Cette vulnérabilité a été découverte par les experts en cybersécurité de Semperis. Il s’agit d’une faille de contournement d’authentification (Authentication Bypass). En termes clairs, des attaquants auraient pu se faire passer pour des utilisateurs légitimes et accéder à des données et systèmes sensibles sans aucune barrière technique. En résumé: une attaque de type Zero-Click, où aucune interaction utilisateur n’est nécessaire pour exploiter la faille.
Comment cette faille fonctionnait – et pourquoi c’est si problématique
Imaginez que votre entreprise utilise un système de cartes d’accès numériques (tokens) pour valider l’identité des employés avant d’accéder au réseau. Ces tokens sont générés par le service d’authentification de Microsoft et doivent être valides. La faille permettait de falsifier ces tokens – et le système les acceptait sans détecter la fraude.
Une fois un token falsifié validé, les conséquences auraient pu être dévastatrices:
- Mouvement latéral dans le réseau: Une fois un compte compromis, les attaquants auraient pu se déplacer librement dans l’infrastructure, comme un cambrioleur qui explore une maison pièce par pièce.
- Vol de données: Toutes les informations sensibles (données utilisateurs, emails, documents confidentiels) auraient été accessibles.
- Ransomware: Avec le contrôle d’Entra ID, des cybercriminels auraient pu manipuler les sauvegardes ou déployer des rançongiciels.
Microsoft a corrigé la faille avant qu’elle ne soit rendue publique et affirme qu’aucune exploitation active n’a été détectée dans la nature. Une bonne nouvelle en soi, mais cet incident rappelle à quel point une telle faille peut apparaître rapidement.
Que conseille Microsoft – et que devez-vous faire en tant qu’entreprise?
Microsoft a publié un correctif dans le cadre de son Patch Tuesday mensuel. Les entrep



rises utilisant Entra ID pour l’authentification multifacteur (MFA), le Single Sign-On (SSO) ou la gestion des identités sont particulièrement concernées. Action immédiate requise: mettez à jour vos systèmes!
Mais ce n’est pas tout. Les experts recommandent également:
1. Vérifier les journaux: Recherchez des tentatives de connexion inhabituelles ou des activités suspectes liées aux tokens.
2. Renforcer les politiques d’accès conditionnel: Ces règles permettent de limiter l’accès aux systèmes, agissant comme une porte de sécurité supplémentaire.
3. Audits réguliers: Faites auditer vos systèmes par des experts indépendants pour détecter d’éventuelles failles similaires.
4. Utiliser Microsoft Defender for Identity: Cet outil peut identifier et signaler les comportements suspects, agissant comme un système d’alerte précoce contre le vol d’identités.
Pourquoi une note CVSS de 10,0 est si alarmante
Une note de 10/10 signifie que la faille est:
Exploitable facilement
Nécessitant peu ou pas de connaissances techniques
Ayant des conséquences maximales
Pour comparaison, la célèbre faille Log4j (CVE-2021-44228), également notée 10/10, avait provoqué une crise mondiale. Ces deux vulnérabilités ont un point commun: elles ciblent les identités, qui sont le cœur de toute infrastructure informatique.
Ce que nous pouvons en tirer
Ce cas est un signal d’alarme pour la sécurité cloud. Le vol d’identités reste l’une des plus grandes menaces pour les entreprises, et la faille d’Entra ID en est une parfaite illustration. Même si Microsoft a réagi rapidement, une question persiste: combien de vulnérabilités similaires restent-elles cachées dans les services cloud?
Les entreprises doivent donc poursuivre une approche proactive:
- Intégrer la sécurité dès la conception – et pas seulement en cas de problème.
- Tester régulièrement la robustesse de vos systèmes.
- Former vos employés, car souvent, les failles sont exploitées non pas par des systèmes, mais par des humains.
La faille d’Entra ID est désormais corrigée, mais elle doit nous rappeler une chose: dans un monde où de plus en plus de processus métiers migrent vers le cloud, la sécurité n’est plus une option – c’est une obligation. Restez vigilants!