觀點 · 資訊分享
Entra ID 出現 CVSS 10.0 滿分漏洞：微軟已在雲端修好、使用者不用動作，「已遭利用」標記隔天改回否
微軟公開 Entra ID 遠端執行程式碼漏洞 CVE-2026-69836，CVSS 10.0 滿分。微軟說已在自家雲端完全修補、客戶不用做任何事；公告隔天把「已遭利用」更正為「否」。
- 發布
- 2026-08-21
- 篇幅
- 約 4 分鐘 · 1,633 字
- 結構
- 7 節 + 3 題常見問題
- 標籤
一句話看懂：微軟公開一個 Entra ID 的 CVSS 10.0 滿分漏洞，但它已經在微軟的雲端修好，使用者不用做任何事；公告隔天還把「已遭利用」改回「否」。
先用白話講：雲端服務的漏洞跟一般漏洞差在哪？
一般軟體有漏洞，就像你家的門鎖壞了：廠商寄新鎖給你，你要自己換，沒換就一直有風險。
雲端服務比較像住在有管理員的大樓：大門的鎖壞了，管理員直接換掉，住戶什麼都不用做。這次的漏洞就是後者，微軟自己在雲端修好了。
那為什麼還要公告？因為微軟在 2024 年宣布，重大的雲端服務漏洞，不管客戶要不要動作，都會發 CVE 編號公開，讓大家知道發生過什麼事。
發生什麼事
依微軟資安回應中心（MSRC）的公告：
- 編號：CVE-2026-69836，Microsoft Entra ID 遠端執行程式碼漏洞
- 公開時間：2026 年 8 月 20 日 07:00（美國太平洋時間，台灣時間當天 22:00，自行換算）
- 嚴重程度：CVSS 3.1 基本分數 10.0（滿分），時間分數 8.7，等級「重大」
- 成因：不安全的反序列化（CWE-502），未經授權的攻擊者可以透過網路執行程式碼
- 處理狀態：微軟已完全修補，使用者不需要採取任何動作
- 更正：8 月 21 日修訂，把「已遭利用」更正為「否」，說明漏洞未在外部遭利用，屬資訊性修正
這個分數代表什麼？
CVSS 向量字串是 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H，翻成白話：
| 向量 | 意思 |
|---|---|
| 透過網路 | 不用碰到機器本身 |
| 難度低 | 不需要特殊條件 |
| 不用權限、不用使用者操作 | 不用登入，也不用騙人點東西 |
| 影響範圍會擴大 | 可能波及漏洞元件以外的系統 |
| 機密、完整、可用性都高 | 資料可能被看、被改、服務被打掛 |
這也是為什麼它拿到滿分。Entra ID（以前叫 Azure AD）是微軟雲端的登入中心，Microsoft 365、Azure 都靠它驗證身分。
更多細節
- MSRC 的利用可能性評估是「較不可能被利用」
- 公告沒有說明當初為什麼標成「已遭利用」，修訂紀錄只寫了更正結果
- 依微軟 2024 年的說明，這類不用客戶動作的雲端 CVE，在 CVE.org 紀錄會加上
exclusively-hosted-service標籤，在更新指南也能篩掉，方便不想處理的人略過
我的看法
看到「CVSS 10.0」先別慌，先看公告裡的「客戶需不需要動作」。這次答案是不用，對中小企業的 IT 來說就是看過即可。
不過它提醒了一件事：我們把登入交給雲端，等於把最重要的門交給別人保管。業者願意公開修過的漏洞是好事，但自己能做的也不能少：管理員帳號一律開多因素驗證、定期看登入紀錄、離職人員帳號馬上停用。雲端業者修的是他們的門，帳號被盜這種事還是要自己顧。
名詞小辭典
- CVE：全球通用的漏洞編號，方便大家指稱同一個問題。
- CVSS：漏洞嚴重程度的評分，0 到 10 分，10 分最嚴重。
- 反序列化：把收到的資料還原成程式裡的物件；如果不檢查來源，可能被塞進惡意內容。
- Entra ID：微軟的雲端身分驗證服務，前身是 Azure AD。
資料來源
常見問題
我們公司用 Microsoft 365，需要做什麼嗎？
這個漏洞不需要。MSRC 公告寫明已由微軟完全修補，服務使用者沒有要採取的動作。
既然不用修，為什麼還要發 CVE？
微軟從 2024 年起，對重大的雲端服務漏洞一律發 CVE，不管客戶需不需要動作，目的是讓業界知道發生過什麼、一起改進。
為什麼一開始標「已遭利用」，後來又改掉？
MSRC 的修訂紀錄只寫了 2026-08-21 把「已遭利用」更正為「否」、漏洞未在外部遭利用、屬資訊性修正，沒有說明當初為何標成「是」。
接著讀
全部觀點 →微軟 10 月例行更新：Windows Shell 漏洞已遭利用，看縮圖就中招的 9.8 分漏洞也要補微軟 10 月 Patch Tuesday 修補大量漏洞，其中 Windows Shell 的 CVE-2026-96951 已遭攻擊、可繞過「網路下載標記」防護，CISA 同日列管。另有瀏覽資料夾產生 RAW 圖片縮圖就可能被執行程式的 9.8 分漏洞，以及多個 ASP.NET Core 高風險問題。閱讀 →三個國家網域註冊局被入侵：攻擊者改 DNS 騙到 Google 等網站的 HTTPS 憑證，Chrome 緊急封鎖Google 揭露 .gh、.sl、.as 三個國家頂級網域的註冊局遭入侵，攻擊者竄改 DNS 後，替 Google 與其他大型網站申請到未經授權的 HTTPS 憑證。Chrome 已用 CRLSets 封鎖，網域擁有者則該檢查憑證透明度紀錄、設定 CAA。閱讀 →AWS 公布 Continuum 自動找漏洞、自己寫修補：920 題測試修好 89%，比前紀錄多 23 分AWS 安全團隊介紹 Continuum，一套能自己找出原始碼漏洞、寫出攻擊驗證、再產生修補程式的多代理系統。在 920 題的 CyberGym-E2E 測試中，端對端成功率 89.0%，比先前公開最高的 65.9% 多出 23.1 個百分點。閱讀 →