微软在 2026 年 11 月的安全更新中披露 CVE-2026-109469，Entra 设备注册（Device Registration）服务存在授权绕过漏洞，未认证攻击者可经由网络越权提升权限。该漏洞 CVSS 3.1 基础分 10.0，是本期 134 个微软漏洞中唯一的满分项，但微软同时说明它已在云端完成修复，客户无需采取任何行动。
事件概述
按微软安全更新指南（MSRC）记录，该漏洞于 11 月 5 日发布，归类为权限提升（Elevation of Privilege），严重级别 Critical，CWE 编号 CWE-639「通过用户可控键的授权绕过」，即通常所说的 IDOR。CVSS 向量为 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H，时间分 8.7（E:U/RL:O/RC:C）。
MSRC 在该条目下给出的 FAQ 明确写道：该漏洞已被微软完全缓解，服务用户无需采取任何行动，发布此 CVE 的目的是提供透明度，并指向微软「云服务 CVE 透明化」政策说明页。同一条目还标注：未被公开披露（publiclyDisclosed: No）、未观测到利用（exploited: No）、可利用性评估为「Exploitation Less Likely」、customerActionRequired 为 false。
技术细节：CWE-639 在身份基础设施里意味着什么
微软没有公布具体接口与复现细节，只能从 CWE 分类与产品功能做有限推断，以下判断请以官方后续更新为准。
CWE-639 的本质是：服务端用客户端提交的标识符去索引对象，却没有校验该标识符是否属于当前调用者。在设备注册场景中，注册流程围绕「设备对象」展开——设备 ID、注册归属的用户或租户、下发的设备证书与密钥，都是这条链上的关键键值。如果某个接口在收到设备标识后直接按 ID 操作，而不校验该设备与当前身份、当前租户的绑定关系，调用者就可能操作到不属于自己的设备记录。
设备身份在微软云里不是普通对象：注册设备会获得可参与条件访问判定的身份，符合条件时可换取主刷新令牌（PRT），进而影响该设备上的单点登录体验。因此设备注册侧的越权，危害方向不是「读一条记录」，而是可能污染设备身份状态、影响基于设备的访问策略判定，CVSS 中 Scope 变为 Changed（S:C）也与「影响越出单一组件」这一定性一致。
影响评估
满分 10.0 说明在漏洞成立的前提下，未认证远程攻击者可以达到高机密性与高完整性影响，且无需用户交互。但需要把三个事实分开看：
- 漏洞已在服务端闭环，当前没有可利用的目标——这是它没有进入 KEV、也没有在野报告的原因。
- EPSS 当前估值约 0.67%（第 52 百分位），属于「分数高、实际利用概率低」的典型。
- 10.0 分是基于「攻击一旦成立」的技术评估，不代表所有租户都暴露过，也不代表存在公开利用代码。
对安全团队而言，这条 CVE 的真正价值不在「打补丁」，而在提醒：身份基础设施侧的 IDOR 类漏洞无法靠租户自己修复，只能依赖云厂商；租户能做的，是把「设备身份被滥用」的检测能力建起来。
修复建议
微软侧无需操作。租户侧建议做以下自查与加固：
- 在 Entra 审计日志中筛选设备注册相关事件（如 Add registered device、Add registered owner to device），排查来源 IP、用户与时间异常集中的记录。
- 收紧「用户可将设备加入 Entra」的租户级设置，非必要不放开给全员；对 BYOD 场景改用「注册」而非「加入」。
- 条件访问策略中，把「要求设备符合合规策略」与「要求混合加入」从建议项改为强制项，并对例外账号单独建组审计。
- 检查跨租户访问策略与外部协作配置，确认没有把设备注册与设备写入权限开放给不必要的合作方租户。
- 对高权限角色（全局管理员、特权角色管理员）启用仅限受信设备访问，避免设备身份成为绕过 MFA 的旁路。