Microsoft chiude una grave vulnerabilità di sicurezza in Entra ID – scovato exploit con valutazione massima

Questa sì che fa venire i brividi, soprattutto se sei un responsabile IT. Microsoft ha appena risolto una vulnerabilità di sicurezza estremamente pericolosa in Entra ID (ex Azure Active Directory), tanto grave da meritarsi il punteggio massimo di "10" sulla scala CVSS. Per chi non lo sapesse: sì, significa che è grave esattamente come sembra.
La falla è stata scoperta dagli esperti di sicurezza di Semperis ed è una vulnerabilità di bypass dell'autenticazione. Tradotto in parole povere: gli attaccanti avrebbero potuto spacciarsi per utenti legittimi, ottenendo accesso a dati e sistemi sensibili senza dover superare alcuna barriera specifica. In sostanza, un classico attacco zero-click, che non richiede alcuna interazione da parte dell'utente per essere sfruttato.
Come avrebbe funzionato la vulnerabilità – e perché è così subdola
Immaginate di avere un "biglietto digitale per il tornello" (un token) che vi permette di accedere alla rete aziendale. Questo token viene rilasciato dal servizio di autenticazione di Microsoft e deve essere valido. La vulnerabilità, invece, permetteva di falsificare questo biglietto e il sistema lo avrebbe accettato senza accorgersi dell’irregolarità.
Un token falso di questo tipo avrebbe potuto causare danni seri:
- Movimenti laterali nella rete: una volta compromesso un account, gli attaccanti avrebbero potuto avanzare indisturbati nella rete, come un ladro che si muove da una stanza all'altra in una casa.
- Furto di dati: qualsiasi informazione non protetta – dati utente, email, documenti riservati – sarebbe stata a rischio.
- Ransomware: con il controllo di Entra ID, i cybercriminali avrebbero potuto manipolare i backup o diffondere ransomware.
Microsoft ha chiuso la falla prima che diventasse di dominio pubblico e assicura che non ci sono prove di sfruttamento attivo in natura. Una buona notizia, certo, ma l’incidente ci ricorda ancora una volta quanto rapidamente possano verificarsi situazioni del genere.
Cosa consiglia Microsoft – e cosa dovrebbero fare le aziende
Microsoft ha pubblicato un aggiornamento di sicurezza nell’ambito del Patch Tuesday mensile. Le aziende più a rischio sono quelle che utilizzano Entra ID per autenticazione multifattore (M



FA), accesso single sign-on (SSO) o gestione delle identità. Quindi: aggiornate subito!
Ma non è tutto. Gli esperti raccomandano di:
1. Controllare i log: verificate se ci sono stati tentativi di accesso insoliti o attività sospette sui token.
2. Politiche di accesso condizionato: queste aiutano a limitare ulteriormente l’accesso ai sistemi, come una barriera di sicurezza aggiuntiva.
3. Audit regolari: fate analizzare i vostri sistemi da esperti indipendenti per individuare tempestivamente vulnerabilità simili.
4. Microsoft Defender for Identity: questo strumento può rilevare e segnalare comportamenti sospetti, fungendo da sistema di allerta precoce contro il furto di identità.
Perché una valutazione CVSS di 10,0 è così allarmante
Un punteggio di 10,0 è il massimo possibile e significa che la vulnerabilità è facile da sfruttare, richiede conoscenze minime e ha impatti devastanti. Per fare un confronto, la famigerata vulnerabilità Log4j (CVE-2021-44228) aveva anch’essa un punteggio di 10,0 e aveva scosso il mondo intero. Entrambe le falle hanno un punto in comune: colpiscono le identità, che sono il cuore pulsante di qualsiasi infrastruttura IT.
Cosa possiamo imparare da questo episodio
Questo caso è un campanello d’allarme per la sicurezza cloud. Il furto di identità rappresenta una delle minacce più gravi per le aziende, e la vulnerabilità in Entra ID ne è un esempio perfetto di quanto rapidamente possano verificarsi situazioni del genere. Anche se Microsoft ha reagito prontamente, resta la domanda: quante altre vulnerabilità simili potrebbero nascondersi nei servizi cloud?
Le aziende, quindi, non dovrebbero limitarsi ad aspettare gli aggiornamenti, ma agire in modo proattivo:
- Integrare la sicurezza sin dalla fase di progettazione – non solo quando qualcosa va storto.
- Testare regolarmente la sicurezza dei propri sistemi per assicurarsi che siano davvero protetti.
- Formare i dipendenti, perché spesso sono le persone, non i sistemi, a sfruttare le vulnerabilità.
La falla in Entra ID è stata ora risolta, ma dovrebbe ricordarci tutti che, in un’epoca in cui sempre più processi aziendali migrano verso il cloud, la sicurezza non è un optional – è un obbligo. Quindi, restate vigili!