Microsoft sluit kritieke beveiligingslek in Entra ID – Exploit met hoogste score ontdekt

Zo’n melding doet een IT-verantwoordelijke toch al snel even huiveren, toch? Microsoft heeft zojuist een écht gevaarlijke beveiligingslek gedicht in Entra ID (voorheen Azure Active Directory) – zo ernstig dat het op de maximumscore van 10,0 op de CVSS-schaal is gekomen. Voor wie het nog niet doorheeft: dit is zo slecht als het klinkt.
De kwetsbaarheid werd ontdekt door security-experts van Semperis en betreft een authentication bypass-lek. Simpel gezegd: aanvallers hadden zich zomaar kunnen voordoen als legitieme gebruikers en zo toegang kunnen krijgen tot gevoelige gegevens en systemen – zonder dat daar extra stappen voor nodig waren. Letterlijk een zero-click-aanval, waarbij geen enkele actie van de gebruiker vereist was om de lekkage uit te buiten.
---
Hoe de lekkage werkte – en waarom het zo verraderlijk was
Stel je voor dat je normaal gesproken een digitaal "poortkaartje" (een token) krijgt om je bedrijfsnetwerk binnen te komen. Dit token wordt uitgedeeld door Microsofts authenticatieservice en moet geldig zijn. De zwakke plek maakte het echter mogelijk om zo’n poortkaartje na te maken – en het systeem liet het gewoon door, alsof er niets aan de hand was.
Een vals token had flinke gevolgen kunnen hebben:
- Laterale beweging in het netwerk: Zodra een account was overgenomen, konden aanvallers dieper doordringen – als inbrekers die van kamer naar kamer sluipen.
- Datadiefstal: Alles wat niet op slot zat – gebruikersgegevens, e-mails, vertrouwelijke documenten – was in gevaar.
- Ransomware: Met controle over Entra ID hadden cybercriminelen back-ups kunnen aanpassen of encryptietrojanen kunnen verspreiden.
Microsoft heeft de lekkage gedicht voordat deze openbaar werd gemaakt en benadrukt dat er geen aanwijzingen zijn dat de kwetsbaarheid al in het wild werd misbruikt. Dat is goed nieuws – maar de gebeurtenis laat weer eens zien hoe snel zoiets kan gebeuren.
---
Wat Microsoft adviseert – en wat jij als bedrijf moet doen
Microsoft heeft een beveiligingsupdate uitgebracht als onderdeel van de maandelijkse Patch Tuesday. Vooral bedrijven die Entra ID gebruiken voor m



ulti-factor authenticatie (MFA), single sign-on (SSO) of identiteitsbeheer zijn getroffen. Update dus direct!
Maar daar blijft het niet bij. Experts raden aan:
1. Logs controleren: Kijk of er vreemde aanmeldpogingen of ongebruikelijke token-activiteiten zijn geweest.
2. Conditional Access Policies instellen: Deze beperken de toegang tot systemen verder – als een extra beveiligingssluis.
3. Regelmatige audits uitvoeren: Laat je systemen door onafhankelijke experts doorlichten om vergelijkbare kwetsbaarheden vroegtijdig op te sporen.
4. Microsoft Defender for Identity gebruiken: Deze tool herkent en meldt verdacht gedrag – een soort vroege waarschuwing voor identiteitsdiefstal.
---
Waarom een CVSS-score van 10,0 zo schrikbarend is
Een score van 10,0 is de hoogst mogelijke waardering en betekent:
De lekkage is makkelijk uit te buiten
Er is bijna geen voorkennis voor nodig
De impact is maximaal
Ter vergelijking: de beruchte Log4j-lekkage (CVE-2021-44228) had ook een 10,0 – en die zorgde wereldwijd voor opschudding. Beide lekkages hebben één ding gemeen: ze richten zich op identiteiten – en die vormen nu eenmaal het hart van elke IT-infrastructuur.
---
Wat we hiervan kunnen leren
Deze gebeurtenis is een wake-upcall voor cloudbeveiliging. Identiteitsdiefstal is een van de grootste bedreigingen voor bedrijven – en de Entra ID-lekkage is een perfect voorbeeld van hoe snel zoiets kan gebeuren. Ook al heeft Microsoft snel gereageerd, de vraag blijft: Hoeveel vergelijkbare zwakke plekken liggen er nog sluimerend in clouddiensten?
Bedrijven zouden daarom niet alleen moeten wachten op patches, maar zelf proactief aan de slag gaan:
- Beveiliging van meet af aan meenemen – niet pas als er iets misgaat.
- Regelmatig testen of je systemen écht veilig zijn.
- Medewerkers trainen, want vaak zijn het niet de systemen, maar de mensen die lekken veroorzaken.
De Entra ID-lekkage is nu opgelost, maar het zou ons allemaal moeten helpen herinneren: in een tijd waarin steeds meer bedrijfsprocessen naar de cloud verschuiven, is veiligheid geen optie – het is een must. Blijf scherp, mensen!