CVE-2026-47647: Microsoft Dynamics 365: controle de acesso inadequado permite elevação de privilégios

Visão geral

A CVE-2026-47647 é uma fraqueza de controle de acesso inadequado (CWE-284) no Microsoft Dynamics 365. Segundo o registro, ela permite que um atacante autorizado eleve privilégios pela rede. A vulnerabilidade foi publicada em 2026-06-18 e consta com status Analyzed. Os detalhes estão no aviso do Microsoft Security Response Center.

Impacto

A Microsoft atribuiu nota base CVSS 3.1 de 9.9 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Na prática:

O ataque pode ser feito pela rede e tem baixa complexidade.
Exige apenas privilégios baixos, ou seja, uma conta válida porém limitada pode servir de ponto de partida.
Não requer interação do usuário.
O escopo é alterado, de modo que o impacto pode ir além do componente vulnerável.
Os impactos em confidencialidade, integridade e disponibilidade são todos altos.

Um atacante bem-sucedido provavelmente poderia obter controle sobre dados e funções do Dynamics 365 além do permitido para sua conta, o que, em aplicações de negócio, pode expor registros de clientes, financeiros ou operacionais.

Produtos e versões afetados

Microsoft Dynamics 365 — o registro não especifica versões ou modalidades de implantação afetadas.

Consulte o aviso do fabricante para verificar se o seu ambiente (nuvem ou local) é afetado.

Status de exploração

A vulnerabilidade não consta do catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS.

Correção e mitigação

Consulte o aviso do MSRC para obter a correção ou a ação exigida do cliente; o registro não lista versão corrigida, o que não significa ausência de correção.
Se o serviço afetado for hospedado em nuvem, confirme com a Microsoft se a correção é aplicada automaticamente ou se exige alguma ação.
Em implantações locais, aplique com prioridade as atualizações fornecidas pela Microsoft, dada a criticidade.
Aplique o princípio do menor privilégio: revise funções e perfis de segurança, remova contas desnecessárias e restrinja o acesso de usuários externos ou convidados.
Exija autenticação forte (como MFA) em todas as contas do Dynamics 365 para reduzir o risco de abuso de contas com poucos privilégios.

Orientações de detecção

Monitore os logs de auditoria do Dynamics 365 e do Microsoft 365 em busca de alterações inesperadas de funções ou permissões.
Procure contas de baixo privilégio acessando registros, entidades ou funções administrativas fora do seu escopo habitual.
Gere alertas para acessos ou exportações de dados em massa a partir de contas com funções limitadas.
Correlacione anomalias de login com atividades subsequentes relacionadas a privilégios.

Limitações das informações disponíveis

O registro não especifica versões, builds nem se as edições online ou locais são afetadas.
Não há versão corrigida ou identificador de patch listado.
A causa técnica além de "controle de acesso inadequado" não é descrita.
Não há dados de EPSS ou SSVC disponíveis.

Perguntas frequentes

O que é a CVE-2026-47647?

Uma vulnerabilidade de controle de acesso inadequado no Microsoft Dynamics 365 que permite a um atacante autorizado elevar privilégios pela rede, com nota CVSS 3.1 de 9.9 atribuída pela Microsoft.

A CVE-2026-47647 está sendo explorada?

Ela não consta do catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Quais versões são afetadas?

O registro não especifica versões afetadas; consulte o aviso da Microsoft para detalhes sobre o seu ambiente.

Como corrigir?

Siga as orientações do aviso do MSRC, aplique as atualizações fornecidas pela Microsoft e reforce o menor privilégio nas funções e a autenticação forte.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.