Se ha descubierto una vulnerabilidad crítica denominada SearchLeak (CVE-2026-42824) en Microsoft 365 Copilot Enterprise. Este fallo permitía a los atacantes robar datos corporativos sensibles, códigos de MFA, correos electrónicos, detalles del calendario y archivos confidenciales mediante un solo clic en un enlace que apuntaba a un dominio legítimo de Microsoft.

Una cadena de vulnerabilidades críticas en Microsoft 365 Copilot Enterprise permitía a los atacantes robar datos corporativos sensibles, códigos MFA, contenidos de correos electrónicos, detalles del calendario y archivos confidenciales con tan solo un clic en un enlace que apuntaba a un dominio legítimo de Microsoft.

Bautizada como SearchLeak, descubierta por Varonis Threat Labs y rastreada como CVE-2026-42824, el fallo obtuvo la calificación de severidad máxima de Microsoft antes de ser parcheado. Su importancia radica menos en un único error que en cómo fusiona una nueva debilidad específica de la IA con dos fallos de seguridad web ya conocidos, convirtiendo la búsqueda de Copilot Enterprise en un canal silencioso de exfiltración.

• https://www.varonis.com/blog/searchleak

SearchLeak no es un fallo único; es un exploit encadenado que utiliza la búsqueda de Microsoft 365 Copilot Enterprise como un motor silencioso de exfiltración de datos.

Detallado por el investigador de Varonis, Dolev Taler, el ataque combina tres debilidades distintas: una inyección de Parámetro a Prompt (P2P), una condición de carrera en el renderizado de HTML y una falsificación de solicitud del lado del servidor (SSRF) a través del endpoint de búsqueda de imágenes de Bing.

Individualmente, cada vulnerabilidad es manejable. Encadenadas, crean un ataque de un solo clic capaz de robar virtualmente cualquier dato al que la víctima tenga acceso dentro de su entorno de Microsoft 365, sin requerir privilegios especiales, plugins ni interacciones secundarias.

Cadena de Vulnerabilidades de Microsoft 365 Copilot

Etapa 1 — Inyección P2P: La búsqueda de Microsoft 365 Copilot acepta un parámetro de URL q destinado a consultas de búsqueda en lenguaje natural. El fallo es que cualquier valor colocado en el parámetro q es interpretado por el motor de IA de Copilot no solo como una cadena de búsqueda, sino como instrucciones ejecutables.

Un atacante diseña una URL maliciosa que apunta a un dominio confiable de microsoft.com y ordena a Copilot que busque en el buzón de la víctima e incruste los datos extraídos en una URL de imagen. Debido a que el enlace resuelve a un dominio legítimo de Microsoft, las herramientas tradicionales de protección de URL y anti-phishing no lo marcan como peligroso.

Etapa 2 — Carrera contra la protección: La mitigación de Microsoft para el HTML peligroso generado por la IA consiste en envolver la salida de Copilot en bloques <code>, evitando que el navegador lo renderice como código de marcado.

Sin embargo, este envoltorio solo ocurre después de que Copilot termina su fase de generación. Durante la fase de streaming, el HTML puro, incluyendo las etiquetas <img> inyectadas por el atacante, se renderiza temporalmente en vivo en el DOM. El navegador dispara la solicitud HTTP antes de que el sanitizador se active, convirtiendo esto en un caso clásico de bypass por condición de carrera.

Etapa 3 — SSRF vía Bing: El navegador de la víctima no puede contactar directamente con un servidor controlado por el atacante debido a la Política de Seguridad de Contenido (CSP) en m365.cloud.microsoft. No obstante, *.bing.com está en la lista blanca de la CSP. La función "Búsqueda por imagen" de Bing acepta un parámetro imgurl y realiza una petición desde el servidor a la URL proporcionada para analizarla.

El atacante incrusta los datos robados directamente en la ruta de esta URL de búsqueda de imágenes de Bing. El backend de Bing retransmite sin saberlo los datos robados al servidor del atacante, evadiendo completamente la CSP.

El ataque completo solo requiere un enlace diseñado enviado por correo electrónico, Teams, Slack o cualquier canal de mensajería. Al hacer clic, Copilot busca silenciosamente en el buzón de la víctima, genera una respuesta con los datos robados incrustados en una URL de imagen de Bing, y el servidor del atacante registra la información exfiltrada en cuestión de segundos, sin necesidad de un segundo clic.

Recomendaciones de Defensa

Microsoft ha parcheado completamente SearchLeak en el lado del servidor; no es necesaria ninguna acción por tu parte para recibir la corrección. Sin embargo, Varonis recomienda a los equipos de seguridad:

• Monitorizar las URLs de búsqueda de Copilot para detectar payloads codificados en el parámetro q que contengan HTML o instrucciones de incrustación de imágenes
• Auditar las listas blancas de CSP para cualquier dominio que realice peticiones desde el servidor a URLs proporcionadas por el usuario
• Tratar la salida de streaming de la IA como no confiable; la sanitización debe ocurrir en el momento del renderizado, no como un paso de posprocesamiento
• Alertar a los usuarios para que inspeccionen los enlaces de Microsoft 365 con cadenas de consulta largas y codificadas antes de hacer clic

SearchLeak sigue al descubrimiento previo de Varonis sobre Reprompt, una cadena similar de exfiltración de datos de un solo clic que afectaba a Copilot Personal.

Juntos, estos hallazgos subrayan cómo los asistentes de IA están creando nuevas superficies de ataque difíciles de detectar al reactivar vulnerabilidades clásicas, anteriormente no explotables, en nuevos contextos.