Entra ID 最新消息：舊版風險原則淘汰、通行密鑰 CVE

7 月 27 日這一週，計畫中的淘汰、弱點揭露與進行中的威脅情報接踵而來，每位 Entra ID 系統管理員都需要密切留意。以下是變更內容以及因應方式。

1. Entra ID Protection 中的舊版風險原則將於 10 月 1 日淘汰

Microsoft 已確認，在 Entra ID Protection 中設定的舊版使用者風險與登入風險原則將於 2026 年 10 月 1 日淘汰。在此日期之後，這些原則將完全停止運作——不會自動移轉，也沒有寬限期。

風險所在： 如果您未在 10 月 1 日前於條件式存取中重建同等原則，被標記為高風險的遭入侵使用者可能會繼續正常驗證，而不需任何額外驗證。這是一種無聲無息的安全性控制移除。

時間軸：

• 2025 年 7 月 31 日——Entra ID Protection 中的風險原則頁面變為唯讀
• 2026 年 10 月 1 日——全面淘汰；原則不再保護使用者

移轉路徑：

1. 在條件式存取中建立同等的使用者風險與登入風險原則（先以僅限報告模式啟動）
2. 驗證預期行為
3. 將原則設為開啟
4. 在 ID Protection 中停用舊的風險原則

⚠️ 將使用者風險與登入風險維持為彼此獨立的條件式存取原則。需要 Entra ID P2 授權。

Microsoft 在條件式存取刀鋒視窗的「從範本建立新原則」下提供了預先建置的範本。

2. CVE-2026-34348：Pass-the-Passkey 攻擊

安全性研究人員 Michael Grafnetter（SpecterOps）發現了一系列影響 Windows 11 與 Microsoft Entra ID 的「Pass-the-Passkey」攻擊。這項研究將在 Black Hat USA（8 月 1 日至 6 日，拉斯維加斯）上發表。

弱點鏈：

• CVE-2026-34348（CVSS 6.5）——Windows 事件記錄服務會以純文字將通行密鑰相關數位金鑰的完整副本寫入事件記錄，任何經過驗證的非特殊權限使用者都能讀取
• Entra ID 雲端缺陷——未能防止這些判斷提示（assertion）被重複使用
• 兩者結合形成一條重送鏈，讓攻擊者能在繞過防網路釣魚 MFA 的同時冒用特殊權限雲端身分

Microsoft 的回應： 已於 2026 年 7 月 14 日修補 Windows 問題，並低調修正了雲端行為。

應採取的行動：

• 立即套用 2026 年 7 月的安全性更新
• 為特殊權限使用者優先採用裝置繫結的通行密鑰
• 強制執行證明（attestation）
• 不要把防網路釣魚 MFA 當作唯一的防護層

3. 鎖定 Entra ID 的進行中網路釣魚活動

裝置代碼流程濫用（Trend Micro）

Trend Micro 記錄的一波進行中網路釣魚活動，正在濫用 Microsoft 的 OAuth 2.0 裝置授權授與流程來繞過 MFA：

• 攻擊者假冒輸入受限的裝置，發起合法的裝置代碼要求
• 透過文件共用電子郵件、QR 碼或「帳戶驗證」提示引誘受害者上鉤
• 受害者在真正的 Microsoft 登入中完成了 MFA，但權杖卻核發給攻擊者的系統
• 攻擊者註冊惡意裝置，並取得長效的重新整理權杖

防禦： 凡非絕對必要之處，透過條件式存取封鎖裝置代碼流程。大多數組織可以全面封鎖，僅保留少數例外。

「Pink」語音釣魚活動（Okta Threat Intelligence）

威脅集團 O-UNC-066（「Pink」）正利用語音釣魚，在註冊階段劫持 Entra ID 通行密鑰註冊：

• 攻擊者假冒 IT 支援人員致電員工，引導他們前往仿冒網域（setpasskey[.]com、passkeydeploy[.]com）
• 由真人操作員即時監看受害者的操作進度
• 在受害者輸入認證和 MFA 的同時，攻擊者將自己的通行密鑰註冊到受害者的 M365 帳戶
• 接著迅速從 SharePoint/OneDrive 外洩資料

防禦措施： 針對驗證器生命週期事件設定警示、依網路/裝置限制驗證方法註冊、稽核現有的通行密鑰註冊，並訓練員工透過已知的支援管道核實來電者身分。

IT 系統管理員行動清單

本文依據 Microsoft Learn、Microsoft Tech Community、M365 訊息中心、SpecterOps 研究、Trend Micro 威脅情報及 Okta 研究彙整撰寫。