Entra ID 新功能：旧版风险策略停用、通行密钥 CVE

7 月 27 日这一周，计划内的停用、漏洞披露和活跃威胁情报交织而来，每位 Entra ID 管理员都需要密切关注。以下是变化内容以及应对方法。

1. Entra ID Protection 中的旧版风险策略将于 10 月 1 日停用

Microsoft 已确认，在 Entra ID Protection 中配置的旧版用户风险和登录风险策略将于 2026 年 10 月 1 日停用。在此日期之后，这些策略将完全停止运行——不会自动迁移，也没有宽限期。

风险所在： 如果你未能在 10 月 1 日之前在条件访问中重建等效策略，被标记为高风险的已遭入侵用户可能会继续正常进行身份验证，而无需任何额外验证。这是一种悄无声息的安全控制移除。

时间线：

• 2025 年 7 月 31 日——Entra ID Protection 中的风险策略页面变为只读
• 2026 年 10 月 1 日——全面停用；策略不再保护用户

迁移路径：

1. 在条件访问中创建等效的用户风险和登录风险策略（先以仅报告模式启动）
2. 验证预期行为
3. 将策略设为开启
4. 在 ID Protection 中禁用旧的风险策略

⚠️ 将用户风险和登录风险保留为相互独立的条件访问策略。需要 Entra ID P2 许可证。

Microsoft 在条件访问边栏选项卡的“从模板创建新策略”下提供了预置模板。

2. CVE-2026-34348：Pass-the-Passkey 攻击

安全研究员 Michael Grafnetter（SpecterOps）发现了一系列影响 Windows 11 和 Microsoft Entra ID 的“Pass-the-Passkey”攻击。该研究将在 Black Hat USA（8 月 1 日至 6 日，拉斯维加斯）上发布。

漏洞链：

• CVE-2026-34348（CVSS 6.5）——Windows 事件日志服务会将与通行密钥相关的数字密钥的完整副本以明文写入事件日志，任何经过身份验证的非特权用户都可读取
• Entra ID 云端缺陷——未能阻止这些断言被重复使用
• 两者结合形成一条重放链，使攻击者能够在绕过防网络钓鱼 MFA 的同时冒充特权云身份

Microsoft 的回应： 已于 2026 年 7 月 14 日修复该 Windows 问题，并悄然修正了云端行为。

应对措施：

• 立即应用 2026 年 7 月的安全更新
• 为特权用户优先采用设备绑定的通行密钥
• 强制执行证明（attestation）
• 不要把防网络钓鱼 MFA 当作唯一的防护层

3. 针对 Entra ID 的活跃网络钓鱼活动

设备代码流滥用（Trend Micro）

Trend Micro 记录的一场活跃网络钓鱼活动正在滥用 Microsoft 的 OAuth 2.0 设备授权许可流来绕过 MFA：

• 攻击者冒充输入受限的设备，发起合法的设备代码请求
• 通过文档共享邮件、二维码或“账户验证”提示诱骗受害者
• 受害者在真实的 Microsoft 登录中完成了 MFA，但令牌却被颁发给攻击者的系统
• 攻击者注册恶意设备并获取长期有效的刷新令牌

防御： 在并非绝对必要的场景下，通过条件访问阻止设备代码流。大多数组织可以大范围阻止，只保留少量例外。

“Pink”语音钓鱼活动（Okta Threat Intelligence）

威胁团伙 O-UNC-066（“Pink”）正在利用语音钓鱼，在注册阶段劫持 Entra ID 通行密钥注册：

• 攻击者冒充 IT 支持人员致电员工，引导他们访问仿冒域名（setpasskey[.]com、passkeydeploy[.]com）
• 由一名实时操作员实时监视受害者的操作进度
• 在受害者输入凭据和 MFA 的同时，攻击者将自己的通行密钥注册到受害者的 M365 账户中
• 随后迅速从 SharePoint/OneDrive 窃取数据

防御措施： 针对身份验证器生命周期事件设置告警，按网络/设备限制验证方法注册，审核现有的通行密钥注册，并培训员工通过已知的支持渠道核实来电者身份。

IT 管理员行动清单

本文基于 Microsoft Learn、Microsoft Tech Community、M365 消息中心、SpecterOps 研究、Trend Micro 威胁情报和 Okta 研究整理撰写。