Microsoft stänger kritisk säkerhetslucka i Entra ID – sårbarhet med högsta bedömning upptäckt

Sånt här får en IT-ansvarig att känna sig lite illa till mods, eller hur? Microsoft har precis åtgärdat en riktigt allvarlig säkerhetslucka i Entra ID (tidigare Azure Active Directory) – och den var så farlig att den fick den högsta möjliga bedömningen på 10,0 på CVSS-skalan. För alla som undrar: Ja, det är precis så illa som det låter.
Sårbarheten upptäcktes av säkerhetsexperterna på Semperis och är en autentiseringsbypass-lucka. På ren svenska betyder det att angripare hade kunnat utge sig för att vara legitima användare och därmed fått tillgång till känsliga data och system – utan några som helst hinder. Enkelt uttryckt: En klassisk nollklicks-attack där ingen användarinteraktion krävs för att utnyttja sårbarheten.
Hur sårbarheten hade kunnat utnyttjas – och varför den är så illasinnad
Tänk er att ni normalt sett får ett digitalt "vridspärrsbesökskort" (ett token) för att komma in i ert företagsnätverk. Detta kort utfärdas av Microsofts autentiseringstjänst och måste vara giltigt. Sårbarheten gjorde det dock möjligt att förfalska detta vridspärrsbesökskort – och systemet släppte igenom det utan att märka något konstigt.
Ett sådant förfalskat token hade kunnat orsaka stor skada:
- Lateral rörelse i nätverket: Så snart ett konto har tagits över, hade angripare kunnat avancera vidare – som inbrottstjuvar som smyger sig från rum till rum i ett hus.
- Dataläckage: Allt som inte är ordentligt skyddat – användardata, e-post, konfidentiella dokument – hade varit i fara.
- Ransomware: Med kontroll över Entra ID hade cyberbrottslingar kunnat manipulera säkerhetskopior eller sprida krypteringstrojaner.
Microsoft har stängt luckan innan den blev allmänt känd och betonar att det inte finns några tecken på att den har utnyttjats i det fria. Det är åtminstone en god nyhet – men incidenten visar återigen hur snabbt sådant här kan hända.
Vad Microsoft rekommenderar – och vad ni som företag bör göra
Microsoft har släppt en säkerhetsuppdatering i samband med



den månatliga patch-tisdagen. Särskilt drabbade är företag som använder Entra ID för multifaktorautentisering (MFA), single sign-on (SSO) eller identitetsförvaltning. Alltså: Uppdatera nu!
Men det räcker inte där. Experter rekommenderar:
1. Kolla loggar: Granska om det förekommit ovanliga inloggningsförsök eller märkliga token-aktiviteter.
2. Conditional Access Policies: Dessa hjälper att begränsa åtkomsten till system – ungefär som en extra säkerhetssluss.
3. Regelbundna revisioner: Låt oberoende experter granska era system för att hitta liknande sårbarheter tidigt.
4. Microsoft Defender for Identity: Detta verktyg kan upptäcka och rapportera misstänkt beteende – en sorts tidig varning för identitetsstöld.
Varför en CVSS-bedömning på 10,0 är så alarmerande
En 10,0 är den högsta möjliga bedömningen och innebär att sårbarheten är lätt att utnyttja, kräver minimal förkunskap och har maximal påverkan. För jämförelse: Den ökända Log4j-sårbarheten (CVE-2021-44228) hade också en 10,0 – och den orsakade uppståndelse världen över. Båda sårbarheterna har en sak gemensamt: De riktar in sig på identiteter – och identiteter är ju hjärtat i varje IT-infrastruktur.
Vad vi kan lära oss av detta
Detta är en väckarklocka för molnsäkerhet. Identitetsstöld är en av de största hoten mot företag – och Entra ID-luckan är ett perfekt exempel på hur snabbt sådant här kan hända. Även om Microsoft reagerade snabbt kvarstår frågan: Hur många liknande sårbarheter finns det dolda i molntjänster?
Företag bör därför inte endast vänta på patchar, utan själva agera:
- Planera säkerhet från början – inte bara när något går fel.
- Regelbundet testa om era system verkligen är säkra.
- Utbilda medarbetare, för ofta är det människorna – inte systemen – som utnyttjar säkerhetsluckor.
Entra ID-luckan är nu åtgärdad, men den bör påminna oss alla: I en tid då fler och fler affärsprocesser flyttas till molnet är säkerhet ingen frivillig extra – det är ett måste. Var uppmärksamma, folk!