<p>Le CERT-FR a révisé le 24 août 2026 son avis sur Microsoft Entra ID : selon le bulletin corrigé par Microsoft, la vulnérabilité CVE-2026-69836...
Il arrive qu'une alerte de sécurité se dégonfle. C'est ce qui vient de se passer autour de Microsoft Entra ID, l'annuaire d'identités qui commande les connexions à Microsoft 365. Pour une PME, l'épisode vaut autant pour son contenu technique que pour la méthode qu'il illustre: avant de déclencher une procédure d'urgence, il faut relire la dernière version du bulletin d'origine. L'avis CERTFR-2026-AVI-1074 du CERT-FR, publié le 21 août 2026, reprenait l'indication de Microsoft selon laquelle la vulnérabilité référencée CVE-2026-69836 — qui permet une exécution de code arbitraire à distance — était activement exploitée. Le 24 août 2026, le CERT-FR a mis son avis à jour: Microsoft a modifié entre-temps son propre bulletin pour préciser que cette vulnérabilité n'est pas exploitée en conditions réelles.
Le niveau de risque est donc revu à la baisse. Il ne descend pas à zéro pour autant: la faille existe, et l'avis maintient la recommandation d'appliquer les mesures correctives. Ce statut d'exploitation peut évoluer de nouveau; la page de l'avis du CERT-FR et le bulletin Microsoft restent les références tenues à jour, et c'est là qu'il faut vérifier l'état du dossier avant d'agir. Entra ID n'est pas un service parmi d'autres. C'est le point d'entrée unique vers la messagerie, les fichiers partagés, les visioconférences et les applications métier hébergées chez Microsoft. Quand un salarié s'authentifie une fois pour accéder à tout, l'annuaire qui valide cette authentification devient la pièce la plus sensible de l'ensemble. Un attaquant qui en prend le contrôle n'a plus besoin de forcer chaque service séparément.
Une nuance importante pour les petites structures: l'essentiel d'Entra ID est un service géré par Microsoft, qui déploie ses correctifs de son côté. Ce qui reste à votre charge, ce sont les composants hybrides installés chez vous — Entra Connect, agents d'authentification — et surtout la configuration du locataire, qui ne se corrige jamais toute seule.
Ce qu'il est raisonnable de faire maintenant
Ces vérifications sont utiles indépendamment de cette vulnérabilité précise. Elles constituent l'hygiène de base d'un environnement Microsoft 365 et se mènent avec votre prestataire informatique si vous n'administrez pas le locataire vous-même.
- Appliquer les mesures du bulletin Microsoft même sans exploitation constatée, et vérifier la version des composants hybrides hébergés dans vos murs.
- Passer en revue la liste des comptes disposant du rôle d'administrateur général et la réduire au strict minimum nécessaire.
- Activer l'authentification multifacteur pour tous les utilisateurs, sans exception pour la direction ni pour les boîtes partagées.
- Examiner les autorisations accordées aux applications tierces connectées au locataire et retirer celles qui ne servent plus.
- Contrôler les règles de transfert automatique de courrier créées dans les boîtes aux lettres: leur apparition inexpliquée est un signe fréquent de compte compromis.
- Conserver les journaux de connexion et les consulter, en portant attention aux connexions venues de pays où vous n'avez aucune activité.
Les éléments techniques ci-dessus sont donnés à titre indicatif. Ils doivent être validés sur votre propre configuration avant toute application en production. En trois jours, la même vulnérabilité est passée de « activement exploitée » à « non exploitée », sans qu'aucun élément technique ne change. Une information de sécurité est un objet vivant: elle se corrige, se précise, parfois se contredit. Le réflexe à installer est simple et coûte quelques secondes: avant de mobiliser une équipe un vendredi soir, ouvrir l'avis d'origine et regarder sa date de dernière mise à jour.
S'abonner aux avis du CERT-FR permet de recevoir ces publications directement, révisions comprises, plutôt que de les découvrir par ricochet.
- CERT-FR, avis CERTFR-2026-AVI-1074, première version du 21 août 2026, dernière version du 24 août 2026.
- Microsoft, bulletin de sécurité relatif à CVE-2026-69836, publié le 20 août 2026 puis modifié.
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 26 août 2026 et des sources citées ci-dessus. Faute d'accès à une recherche externe au moment de la rédaction, les informations n'ont pas pu être recoupées au-delà de ces deux sources: le statut d'exploitation de la vulnérabilité et le contenu exact des mesures correctives sont à vérifier sur l'avis du CERT-FR et le bulletin Microsoft, qui restent les références à jour.