Microsoft ha corregido m\u00faltiples vulnerabilidades de gravedad m\u00e1xima en Entra ID, Azure Arc y Exchange Online que permit\u00edan a los atacantes obtener ejecuci\u00f3n remota de c\u00f3digo y escalar privilegios. Anteriormente conocido como Azure Active Directory (o Azure AD), es una plataforma IAM basada en la nube que proporciona a los clientes de Microsoft 365, Azure o Dynamics CRM Online autenticaci\u00f3n, aplicaci\u00f3n de pol\u00edticas y protecci\u00f3n en aplicaciones y recursos.<\/p>\n
La primera de ellas, descubierta por el ingeniero principal de seguridad de Microsoft Robert Fitzpatrick y rastreada como CVE-2026-69836, es un fallo cr\u00edtico en la plataforma IAM basada en la nube Entra ID que permit\u00eda a actores de amenazas sin privilegios obtener ejecuci\u00f3n de c\u00f3digo en ataques de baja complejidad. \u00abLa deserializaci\u00f3n de datos no confiables en Microsoft Entra ID permite a un atacante no autorizado ejecutar c\u00f3digo a trav\u00e9s de una red\u00bb, indic\u00f3 Microsoft en un aviso de seguridad publicado el jueves. Ayer, Microsoft tambi\u00e9n abord\u00f3 otros cuatro fallos de gravedad m\u00e1xima, tres de los cuales permit\u00edan a atacantes no autenticados escalar privilegios de forma remota en Azure Arc (CVE-2026-65816 y CVE-2026-69555) y Exchange Online (CVE-2026-65801).<\/p>\n
El cuarto fallo, rastreado como CVE-2026-65770, permit\u00eda la ejecuci\u00f3n remota de c\u00f3digo en una instancia administrada de Azure para Apache Cassandra. Microsoft se\u00f1ala que el c\u00f3digo de explotaci\u00f3n para estas vulnerabilidades a\u00fan no est\u00e1 disponible en l\u00ednea y a\u00f1adi\u00f3 que los usuarios no necesitan realizar ninguna acci\u00f3n, ya que los fallos ya se han solucionado por completo. Seg\u00fan Microsoft, la empresa public\u00f3 los avisos de seguridad \u00abpara proporcionar mayor transparencia\u00bb.<\/p>\n
En septiembre de 2025, corrigi\u00f3 otro fallo cr\u00edtico de escalada de privilegios en Entra ID (CVE-2025-55241) reportado por el investigador de seguridad de Outsider Security Dirk-jan Mollema, que permit\u00eda a los atacantes obtener acceso completo al inquilino de Microsoft Entra ID de todas las empresas del mundo. El viernes, la CISA tambi\u00e9n etiquet\u00f3 como explotado activamente un fallo cr\u00edtico de ejecuci\u00f3n remota de c\u00f3digo (RCE) en el componente de extensiones del servicio Internet Key Exchange (IKE) de Windows. Tras una declaraci\u00f3n de Microsoft en la que afirmaba que hab\u00edan marcado err\u00f3neamente el CVE-2026-69836 como explotado en la naturaleza, la noticia fue revisada.<\/p>\n
Una vez que los atacantes tienen credenciales v\u00e1lidas, solo el 37% de sus acciones son bloqueadas. Las puntuaciones generales de prevenci\u00f3n pueden ocultar lo que sucede despu\u00e9s del acceso inicial. Una vez que los atacantes usan credenciales v\u00e1lidas, la prevenci\u00f3n cae dr\u00e1sticamente. El informe Blue Report 2026 mide las defensas t\u00e9cnica por t\u00e9cnica en 338 millones de simulaciones ejecutadas en entornos de producci\u00f3n de clientes.<\/p>\n