Microsoft advirtió sobre una vulnerabilidad de severidad máxima en Entra ID que permitía la ejecución remota de código y ya ha sido explotada. El fallo se debió a la deserialización de datos no confiables, alcanzando una puntuación crítica de 10.0. La empresa confirmó que el problema ya ha sido mitigado totalmente, por lo que los usuarios no necesitan realizar ninguna acción.





Microsoft advirtió el jueves sobre un fallo de seguridad de severidad máxima en Entra ID que, según afirma, ha sido explotado en entornos reales, aunque señaló que no es necesaria ninguna acción por tu parte.

La vulnerabilidad, identificada como CVE-2026-69836 (puntuación CVSS: 10.0), es un caso de ejecución remota de código que afecta al servicio de gestión de identidades y accesos basado en la nube del gigante tecnológico. Anteriormente era conocido como Azure Active Directory o Azure AD.

"La deserialización de datos no confiables en Microsoft Entra ID permite que un atacante no autorizado ejecute código a través de una red", afirmó Microsoft en una alerta publicada el jueves.

Los fallos de este tipo (CWE-502) ocurren cuando una aplicación convierte datos controlados por el usuario nuevamente en un objeto activo o estructura de código sin la validación adecuada. Esto puede provocar la ejecución de código, la denegación de servicio o la omisión del control de acceso, permitiendo que un atacante realice acciones no autorizadas.

La compañía dio crédito al ingeniero principal de seguridad Robert Fitzaptrick por descubrir y reportar el problema.

Al momento de escribir esto, no hay detalles sobre cómo se ha explotado la vulnerabilidad, cuándo comenzaron estos esfuerzos, si aún continúan o cómo fue descubierta.

"Esta vulnerabilidad ya ha sido completamente mitigada por Microsoft", añadió. "No hay ninguna acción que debas tomar como usuario de este servicio".

A principios de este mes, Redmond también parcheó un fallo de escalada de privilegios de seguridad de severidad alta que afectaba al controlador Windows Ancillary Function Driver para WinSock (CVE-2026-68820, puntuación CVSS: 7.0), el cual fue explotado como un zero-day por el Grupo Lazarus, vinculado a Corea del Norte, como parte de una campaña prolongada denominada Operación Dream Job.

Fuente:
THN