Un score de 10/10 sur Entra ID attire forcément l'attention. Pour la CVE-2026-35431, publiée le 23 avril 2026, je préfère regarder ce que Microsoft décrit avant d'en tirer des conclusions sur un tenant entier. Le composant concerné est Entitlement Management, qui gère des packages d'accès.
C'est quoi cette vulnérabilité ?
Microsoft décrit une SSRF permettant à un attaquant non authentifié de réaliser une usurpation par le réseau. Une SSRF consiste à faire émettre au serveur une requête qu'il ne devrait pas exécuter pour l'attaquant.
Le vecteur publié indique une faible complexité et aucune interaction d'utilisateur. La description ne détaille ni le chemin d'exploitation, ni les ressources accessibles après l'usurpation.
Risque concret pour une PME
L'Entitlement Management gère des packages d'accès à des ressources. La faille touche donc un mécanisme sensible de gouvernance. Les droits et les données accessibles après l'usurpation ne sont pas détaillés dans la fiche publique.
Pour expliquer le sujet à une équipe ou à un client, je garderais cette distinction : ce que Microsoft confirme, et ce qu'on ne peut pas établir avec la fiche publique.
Ce que l'on sait de l'exploitation
La fiche référence un correctif officiel Microsoft. Elle ne fournit pas de démonstration publique permettant de reconstituer une attaque complète. Le bulletin Microsoft est la référence pour le statut du service et les actions éventuellement demandées ; un article ne remplace pas une investigation de votre tenant.
Ce que vous devez faire
Je commencerais par vérifier si vous utilisez les packages d'accès. Si oui, voici les points à reprendre avec leurs responsables. Ce sont des vérifications de configuration, pas un correctif de la SSRF.
- Identifier les propriétaires des catalogues et des packages encore utilisés.
- Revoir les demandes externes, les approbations et les ressources auxquelles elles donnent accès.
- Prévoir une expiration ou une revue des accès, notamment pour les partenaires.
- Examiner les attributions inattendues avec les responsables des ressources avant de les modifier.
Comment surveiller votre environnement
Consultez les journaux d'audit et les attributions d'accès disponibles. Une modification inexpliquée mérite une vérification ; elle n'est pas, à elle seule, une preuve d'exploitation de cette CVE.
Les journaux d'audit et de connexion Entra sont conservés par défaut 7 jours avec Entra ID Free, 30 jours avec P1 ou P2. Une recherche sur un incident ancien suppose donc qu'ils aient été archivés. Ces durées ne sont pas celles du journal unifié Microsoft Purview.