Den 21 augusti 2026 släppte Microsoft en säkerhetsuppdatering som fick identitetsteam över hela Norden att sätta morgonkaffet i halsen. Bolaget hade hittat en sårbarhet i Entra ID, molntjänsten som hanterar inloggning för miljontals användare hos företag, myndigheter och skolor, med det högsta möjliga CVSS-betyget: 10,0 av 10. Sårbarheten fick beteckningen CVE-2026-69836, och den satte fingret på ett problem som svenska säkerhetschefer länge har oroat sig för: vad händer när själva dörrvakten till molnet går sönder?
Entra ID (tidigare Azure Active Directory) är ryggraden i inloggningen för de flesta organisationer som kör Microsoft 365, Azure eller hybridmiljöer med lokal Active Directory kopplad till molnet. I Sverige gäller det allt från kommuner och regioner till banker, industribolag och statliga myndigheter. När en sårbarhet med maximal allvarlighetsgrad dyker upp i den tjänsten, är det inte en fotnot i ett veckobrev, det är en varningsklocka för hela den nordiska IT-sektorn.
Vad är CVE-2026-69836 och varför fick den 10,0 i CVSS?
Enligt den officiella beskrivningen i National Vulnerability Database handlar felet om deserialisering av opålitlig data i Microsoft Entra ID, vilket tillåter en obehörig angripare att exekvera kod över nätverket. På vanlig svenska: en angripare som skickar rätt konstruerad datapost till tjänsten kunde i teorin få servern att köra egen kod, helt utan att först behöva logga in eller autentisera sig. Det är den typen av fel som säkerhetsbranschen kallar “wormable” i värsta fall, eftersom det inte kräver mänsklig interaktion eller förhandsåtkomst.
Sårbarheten upptäcktes internt av Microsofts egen säkerhetsforskare Robert Fitzpatrick, enligt BleepingComputers rapportering. Det är värt att notera skillnaden mot många andra kritiska sårbarheter: den upptäcktes inte av en extern forskare som sålde informationen, och den låg inte ute som en okänd zero-day i flera månader innan den hittades. Microsofts eget team fångade problemet, vilket är precis det scenario säkerhetsorganisationer brukar hoppas på.
Det som gör fallet extra intressant är turerna kring om felet faktiskt utnyttjades i verkliga attacker. Enligt tidiga rapporter beskrevs sårbarheten som redan utnyttjad innan Microsoft hann täppa till hålet, vilket Cybersecurity Dive skrev om i sin ursprungliga nyhet. Men den 24 augusti 2026 uppdaterade Microsoft sin rådgivning och ändrade statusen. Enligt Help Net Securitys genomgång av MSRC-posten löd den korrigerade texten: “Corrected Exploited to No. This vulnerability was not exploited in the wild. This is an informational change only.” Med andra ord, Microsoft drog tillbaka sitt eget påstående om aktivt utnyttjande efter vidare utredning.
Molnfixen som inte kräver att du gör något
Till skillnad från en sårbarhet i Windows eller en lokal server, där IT-avdelningen måste ladda ner och installera en patch, är Entra ID en molntjänst som Microsoft själva driver och underhåller. Det betyder att fixen rullades ut på Microsofts infrastruktur, inte hos kunden. Enligt Microsofts egen kommunikation, återgiven av Help Net Security, gäller följande: “This vulnerability has already been fully mitigated by Microsoft. There is no action for users of this service to take. The purpose of this CVE is to provide further transparency.”
Microsoft gick också ut med en mer utförlig formulering om att man identifierat och åtgärdat problemet: “We identified and addressed this issue with a fix and released CVE-2026-69836 for greater transparency. There are no additional actions customers need to take.” Det är en ovanligt öppen hållning från ett bolag som historiskt fått kritik för att vara sparsamt med detaljer kring molnsårbarheter. Att publicera ett CVE-nummer för ett fel som redan är löst, bara för transparensens skull, är ett mönster som blivit vanligare efter påtryckningar från myndigheter som CISA i USA och motsvarande organ i Europa.
Men “inget att göra” är inte samma sak som “inget att tänka på”. Just för att kunden inte kan installera en patch, måste säkerhetsteam istället lita blint på leverantörens ord om att felet är stängt. Det är en förtroendefråga, och den blir extra känslig i en tid då molnleverantörer sköter allt fler kritiska funktioner åt både privat och offentlig sektor i Norden.
Fem sårbarheter, en mönsterbild för 2026
CVE-2026-69836 är inte en isolerad händelse. Den ingår i en följd av identitetsrelaterade sårbarheter i Entra ID och Azure Entra ID som publicerats under 2026, och tillsammans målar de upp en bild av ett system under konstant press. Nedan är de mest relevanta, sorterade efter publiceringsdatum.
| CVE-nummer | Publicerad | Typ av brist | CVSS | Källa |
|---|---|---|---|---|
| CVE-2026-24305 | 24 januari 2026 | Privilegieeskalering i Azure Entra ID | Kritisk | NVD |
| CVE-2026-26148 | 10 mars 2026 | Privilegieeskalering via extern initiering av data | Hög | NVD |
| CVE-2026-40379 | 12 maj 2026 | Informationsläckage som möjliggör spoofing | Hög | SentinelOne |
| CVE-2026-42901 | 26 maj 2026 | Origin validation error, privilegieeskalering | Hög | SentinelOne |
| CVE-2026-62869 | 11 augusti 2026 | Autentiseringsbypass / spoofing | 8,8 | SentinelOne |
| CVE-2026-69836 | 21 augusti 2026 | Deserialisering, fjärrkörning av kod | 10,0 | NVD |
Sex sårbarheter på åtta månader, i ett och samma identitetssystem, är ett mönster som är svårt att blunda för. Bristerna spänner över hela skalan: fjärrkörning av kod, privilegieeskalering, spoofing och informationsläckage. Det säger något om ytan som Entra ID exponerar, ett system som måste hantera federerad inloggning, tokens, certifikat, API:er och integrationer mot tusentals tredjepartsappar samtidigt. Ju fler kopplingar, desto fler platser där en deserialiseringsbugg eller en valideringsmiss kan smyga sig in.
Samtidigt publicerade Microsoft samma vecka som CVE-2026-69836 totalt 22 nya säkerhetsuppdateringar över flera produkter, enligt SecurityWeeks genomgång. Bland dessa fanns även CVE-2026-69851, ytterligare en kritisk privilegieeskalering i Entra ID, samt brister i Azure SQL Database och Microsoft Fabric. Det ger en bild av en augustimånad där Microsofts säkerhetsteam hade fullt upp.
Vad detta betyder för svenska och nordiska organisationer
Ingen av de tillgängliga källorna pekar ut ett specifikt svenskt eller nordiskt intrång kopplat till dessa Entra ID-brister. Det är viktigt att vara tydlig med det, för att undvika att skapa panik där ingen konkret händelse finns dokumenterad. Men avsaknaden av en regional rubrik betyder inte att frågan är irrelevant för Sverige. Tvärtom, den globala beskrivningen av Entra ID som en plattform som används av företag, myndigheter och offentlig sektor världen över träffar rakt in i den svenska förvaltningsstrukturen, där kommuner, regioner och statliga myndigheter i stor utsträckning står på Microsofts molnstack.
Sverige har under de senaste åren sett en stadig ökning av digitaliseringstakten inom offentlig sektor, med Microsoft 365 och kopplade Entra ID-tenants som standardval hos många myndigheter. Det skapar en gemensam attackyta: om en sårbarhet i identitetslagret exploateras brett, spelar det mindre roll om offret sitter i Kiruna eller Kalifornien, arkitekturen är i grunden densamma. Skillnaden ligger i hur snabbt organisationen märker avvikande beteende, och där ligger den nordiska utmaningen snarare i loggning och övervakning än i patchhantering.
Eftersom Microsoft sköter fixen på serversidan, flyttas ansvaret för nordiska säkerhetsteam bort från traditionell patchcykel och mot något annat: kontinuerlig övervakning av inloggningsmönster, granskning av villkorsstyrd åtkomst (conditional access) och strikt hantering av privilegierade konton. Ett företag kan inte patcha bort risken från en molntjänst de inte äger infrastrukturen för. Det enda verktyget som återstår är att upptäcka avvikelser snabbt om något ändå går snett, och att begränsa skadan genom minimal privilegiering.
Marknadseffekten: identitet blir en styrelsefråga
Sårbarheter med maximalt CVSS-betyg i centrala molntjänster har en tendens att flytta säkerhetsbudgetar. När ett system med betyget 10,0 av 10 sitter mitt i inloggningskedjan för ett företags samtliga anställda, blir frågan om identitetshantering (identity and access management, IAM) svårare att ducka för styrelser och ledningsgrupper. Det är rimligt att vänta sig ökat intresse för tredjepartsverktyg som kompletterar Entra ID med extra övervakningslager, till exempel lösningar för identity threat detection and response (ITDR), som specifikt bevakar avvikande inloggningsbeteende i Microsofts moln.
Samtidigt är Microsoft fortfarande den dominerande aktören inom företagsidentitet, och en enskild sårbarhet, även en med toppbetyg, brukar inte i sig rubba marknadsandelar särskilt mycket. Det som däremot förändras är köpbeteendet kring kompletterande säkerhetstjänster. Budgetar som tidigare gick till allmän slutpunktssäkerhet flyttas i allt högre grad mot identitetscentrerade verktyg, en trend som redan var tydlig innan augusti 2026 men som den här händelsen sannolikt förstärker.
För konsultbolag och MSSP:er (managed security service providers) med nordiska kunder öppnar det här också en kommersiell möjlighet: erbjuda granskning av Entra ID-konfigurationer, genomgång av villkorsstyrd åtkomst och rådgivning kring privilegierad åtkomsthantering (PAM) som en direkt respons på den här typen av nyheter. Efterfrågan på sådana tjänster brukar öka märkbart efter varje stor identitetsrelaterad rubrik.
Historisk kontext: från Active Directory till molnidentitet
Entra ID är arvtagaren till Azure Active Directory, som i sin tur byggde vidare på den klassiska lokala Active Directory-tjänsten som funnits sedan Windows 2000. Bytet av namn från Azure AD till Entra ID genomfördes av Microsoft för att signalera en bredare identitetsportfölj, som numera även inkluderar produkter för extern identitet, behörighetshantering och verifierbara identiteter. Namnbytet var kosmetiskt i förstone, men den tekniska verkligheten har förändrats desto mer: fler tenants, fler federerade inloggningar, fler API-integrationer och ett växande antal SaaS-appar som autentiserar via Entra.
Den här tillväxten är också själva förklaringen till varför sårbarhetsflödet ökat. Ett system som 2015 mest hanterade inloggning till Office 365 hanterar 2026 en betydligt bredare uppsättning scenarier: hybrididentitet med lokal AD-synk, multi-tenant-federation, tredjeparts-OAuth-appar och maskin-till-maskin-autentisering för molnresurser. Varje ny funktion är också en ny yta att testa, och en ny plats där en deserialiseringsbugg kan gömma sig.
Jämfört med tidigare stora identitetsincidenter, som golden ticket-attacker mot lokal Active Directory eller de token-manipulationer som kom i kölvattnet av SolarWinds-intrånget 2020, skiljer sig 2026 års mönster på en avgörande punkt: Microsoft hittar och stänger felen själva, ofta innan de blir allmänt kända utanför säkerhetsbranschens egna kanaler. Det är ett styrketecken för Microsofts interna säkerhetsarbete, men det väcker också frågan om hur många liknande fel som ännu inte upptäckts i ett system av den här komplexiteten.
Konkurrentjämförelse: hur står sig Entra ID mot Okta och Ping Identity?
Entra ID konkurrerar främst med Okta och Ping Identity på marknaden för molnbaserad identitetshantering, samt i viss mån med Googles Cloud Identity för organisationer som kör Google Workspace. Alla stora identitetsplattformar har haft egna säkerhetsincidenter de senaste åren, Okta drabbades exempelvis av flera uppmärksammade supportsystem-intrång 2022 och 2023 som ledde till exponerad kunddata. Det är alltså inte ett problem unikt för Microsoft, utan en strukturell utmaning för hela kategorin: ju mer centraliserad identitetshanteringen blir, desto mer attraktivt blir målet för angripare.
| Plattform | Marknadsposition | Typisk kundgrupp i Norden | Senaste större säkerhetshändelse |
|---|---|---|---|
| Microsoft Entra ID | Marknadsledande, ingår i Microsoft 365-avtal | Myndigheter, kommuner, storbolag med M365 | CVE-2026-69836, CVSS 10,0, augusti 2026 |
| Okta | Fristående identitetsspecialist | Techbolag, scaleups, SaaS-leverantörer | Supportsystem-intrång 2022/2023 |
| Ping Identity | Nischad mot stora företag och finanssektor | Bank och finans, större industribolag | Ingen jämförbar 2026-händelse i tillgängliga källor |
| Google Cloud Identity | Bunden till Google Workspace | Organisationer med Google-ekosystem | Ingen jämförbar 2026-händelse i tillgängliga källor |
Fördelen Microsoft har, trots sårbarhetsflödet, är att bolaget kontrollerar hela stacken, från operativsystem till molntjänst till identitetslager. Det gör att fixar kan rullas ut snabbt och centralt, som fallet var med CVE-2026-69836. Nackdelen är att en så central position också gör Entra ID till ett extremt attraktivt mål: lyckas en angripare bryta sig in i identitetslagret, öppnas dörren till i princip alla anslutna tjänster på en gång.
Teknisk genomgång: så fungerar en deserialiseringsattack
För läsare som vill förstå tekniken bakom CVE-2026-69836 lite djupare: deserialisering är processen där ett program omvandlar data som skickats över nätverket (till exempel i JSON- eller XML-format) tillbaka till ett objekt som programmet kan arbeta med internt. Om systemet inte kontrollerar att den inkommande datan verkligen ser ut som förväntat, innan den omvandlas till ett objekt, kan en angripare smyga in skadlig kod förklädd som vanlig data.
// Förenklat exempel på riskabelt mönster (pseudokod)
function hanteraInkommandeToken(raaData) {
// Farligt: objektet byggs upp direkt från extern data
// utan att typ eller struktur valideras först
const objekt = deserialize(raaData);
objekt.exekvera(); // Om raaData är manipulerad kan detta
// trigga oavsiktlig kodexekvering
}Det är just den här typen av mönster som säkerhetsforskare letar efter i stora system som Entra ID. Lösningen, som Microsoft rimligen implementerat i sin serverfix, brukar handla om strikt typkontroll (allowlisting) innan deserialisering tillåts, samt att aldrig deserialisera data direkt till körbara objekt utan mellanliggande validering. Eftersom fixen ligger på serversidan har externa forskare inte kunnat verifiera exakt vilken kodändring Microsoft gjorde, vilket är en begränsning värd att nämna för läsare som vill gräva djupare.
Vad nordiska säkerhetsteam bör göra nu
Även om Microsoft själva säger att ingen åtgärd krävs för den specifika sårbarheten, finns det ett antal saker svenska och nordiska IT-avdelningar rimligen bör se över med anledning av det bredare mönstret av Entra ID-brister under 2026.
- Granska villkorsstyrd åtkomst (conditional access policies) så att multifaktorautentisering krävs för alla administratörskonton, inte bara vanliga användare.
- Aktivera och granska loggning i Entra ID (sign-in logs och audit logs) med regelbunden export till ett SIEM-system för avvikelsedetektering.
- Gå igenom listan över privilegierade roller och ta bort stående (standing) administratörsrättigheter till förmån för tillfälliga, tidsbegränsade behörigheter (Privileged Identity Management).
- Kartlägg vilka tredjepartsappar som har OAuth-behörigheter i tenanten, och återkalla behörigheter för appar som inte längre används aktivt.
- Följ Microsofts säkerhetsbulletiner (MSRC) löpande, snarare än att bara reagera på stora rubriker, eftersom flera av 2026 års brister publicerats med relativt liten uppmärksamhet innan de sammanställdes i efterhand.
Ingen av dessa åtgärder är en direkt respons på CVE-2026-69836 specifikt, eftersom den redan är stängd på serversidan. Men de adresserar den bakomliggande sårbarhetsytan som gör den här typen av fel farliga när de väl uppstår.
Fem förutsägelser för Entra ID-säkerhet framöver
Baserat på mönstret från 2026 går det att göra några rimliga bedömningar om vad som väntar identitetssäkerheten hos Microsoft och dess nordiska kunder under kommande kvartal.
- Fler CVE:er med hög eller kritisk allvarlighetsgrad i Entra ID kommer sannolikt publiceras under resten av 2026, i takt med att plattformens funktionsyta fortsätter växa.
- Efterfrågan på fristående ITDR-verktyg (identity threat detection and response) som komplement till Entra ID lär öka bland större nordiska organisationer, särskilt inom finans och offentlig sektor.
- Microsoft kommer sannolikt fortsätta praxisen att publicera CVE:er även för redan åtgärdade molnfel, som en del av en bredare transparenstrend som pressats fram av myndigheter och kunder.
- Nordiska tillsynsmyndigheter och branschorganisationer lär trycka hårdare på granskning av molnleverantörers identitetsarkitektur i samband med NIS2-relaterad rapportering.
- Konsolideringen mot Entra ID som standardval inom svensk offentlig sektor fortsätter ändå, eftersom kostnaden och komplexiteten i att byta identitetsplattform vida överstiger den upplevda risken från enskilda sårbarheter.
Så skiljer sig molnpatchning från traditionell patchhantering
En underskattad poäng i hela den här historien är hur annorlunda arbetsflödet blir när en leverantör äger hela infrastrukturen. I traditionell IT-drift finns en tydlig process: en sårbarhet upptäcks, en patch släpps, IT-avdelningen testar patchen i en labbmiljö, och sedan rullas den ut stegvis över produktionsmiljön. Hela den processen kan ta allt från dagar till månader beroende på hur kritiskt systemet är.
Med en molntjänst som Entra ID försvinner nästan hela den kedjan. Kunden har inget labb att testa i, ingen stegvis utrullning att styra, och ingen möjlighet att skjuta upp patchningen till nästa underhållsfönster. Fördelen är hastighet: alla kunder skyddas samtidigt, oavsett storlek eller mognadsgrad på den egna IT-avdelningen. Nackdelen är kontrollförlust: en organisation som av regulatoriska skäl vill validera varje ändring innan den träder i kraft har helt enkelt inte det alternativet längre.
Det här är särskilt relevant för nordiska myndigheter med höga krav på spårbarhet och dokumenterad förändringshantering. Flera säkerhetschefer har lyft frågan om hur revisionskrav enligt till exempel NIS2 ska tolkas när den faktiska säkerhetsåtgärden sker helt utanför den egna organisationens synfält.
Vanliga frågor om Entra ID och CVE-2026-69836
Behöver min organisation installera en patch för CVE-2026-69836?
Nej. Microsoft har åtgärdat sårbarheten på serversidan, och enligt bolagets egen kommunikation krävs ingen åtgärd från kundens sida. CVE-numret publicerades enbart i transparenssyfte.
Utnyttjades sårbarheten i verkliga attacker?
Det är oklart och delvis omtvistat. Tidiga rapporter beskrev sårbarheten som utnyttjad innan mitigeringen var klar, men Microsoft uppdaterade senare sin officiella status till att den inte hade utnyttjats i verkliga attacker.
Vad är skillnaden mellan Entra ID och Azure Active Directory?
Entra ID är det nya namnet på Azure Active Directory efter att Microsoft bytte varumärke för sin identitetsportfölj. Tekniskt är det samma underliggande tjänst som vidareutvecklats, med ett bredare produktnamn som numera täcker fler identitetsrelaterade tjänster.
Finns det bekräftade svenska eller nordiska intrång kopplade till dessa sårbarheter?
Nej, inga av de tillgängliga källorna pekar ut ett specifikt svenskt eller nordiskt intrång kopplat till 2026 års Entra ID-sårbarheter. Riskbilden är global snarare än regionspecifik.
Hur många Entra ID-sårbarheter har publicerats under 2026?
Minst sex namngivna CVE:er i Entra ID eller Azure Entra ID har dokumenterats i NVD och leverantörsdatabaser under 2026, med allvarlighetsgrad från hög till kritisk, inklusive den maximala poängen 10,0 för CVE-2026-69836.
Kan man stänga av Entra ID och gå tillbaka till lokal Active Directory?
Tekniskt är det möjligt för organisationer som inte behöver molnfunktioner, men i praktiken är det ovanligt bland större nordiska organisationer eftersom Microsoft 365 och andra molntjänster i regel kräver Entra ID för autentisering. De flesta väljer istället en hybridlösning med lokal AD synkad mot Entra ID.
Vilka verktyg kan komplettera Entra ID:s inbyggda säkerhet?
Vanliga komplement inkluderar identity threat detection and response-lösningar (ITDR), verktyg för privileged access management (PAM) samt SIEM-plattformar som samlar in och analyserar inloggningsloggar från Entra ID för att upptäcka avvikande beteende i realtid.
