Microsoft solucionó varias vulnerabilidades críticas, destacando una de máxima severidad en Azure AI Foundry que permitía la escalada de privilegios. Los fallos en servicios de nube ya fueron mitigados sin requerir acción del usuario, mientras que otros errores en Windows 11 fueron corregidos mediante actualizaciones. Además, se reportó que algunos fallos previos están siendo explotados por grupos de espionaje.




Microsoft ha lanzado correcciones para un fallo de seguridad de severidad máxima en Azure AI Foundry que podría ser explotado para lograr una escalada de privilegios. No necesitas realizar ninguna acción.

La vulnerabilidad, identificada como CVE-2026-85889, tiene una puntuación CVSS de 10.0.

"La falta de autenticación para una función crítica en Azure AI Foundry permite que un atacante no autorizado eleve sus privilegios a través de una red", afirmó Microsoft en un aviso el jueves.

Azure AI Foundry, también llamada Microsoft Foundry, es una plataforma empresarial diseñada para crear, desplegar y gestionar aplicaciones y agentes de inteligencia artificial (IA) generativa.

El fabricante de Windows acreditó al investigador de seguridad Rémy Marot (@R_Marot) por descubrir y reportar el fallo. No hay evidencia de que el problema haya sido explotado en entornos reales.

Microsoft también ha parcheado en los últimos días otros fallos críticos:

* CVE-2026-85885 (puntuación CVSS: 9.9) - Una vulnerabilidad de inyección de comandos en Microsoft 365 Copilot que podría permitir a un atacante autorizado elevar privilegios a través de una red.
* CVE-2026-85878 (puntuación CVSS: 9.9) - Una autorización incorrecta en Azure Database for PostgreSQL que podría permitir a un atacante autorizado elevar privilegios a través de una red.
* CVE-2026-87701 (puntuación CVSS: 9.6) - Una vulnerabilidad de neutralización incorrecta en Azure Cosmos DB que podría permitir a un atacante autorizado elevar privilegios a través de una red.

Como suele ocurrir con los CVE basados en la nube, Microsoft indicó que las vulnerabilidades ya han sido totalmente mitigadas y que no requieren que tomes ninguna medida.

Por separado, Microsoft ha enviado actualizaciones para otras dos vulnerabilidades, una de las cuales fue revelada originalmente el mes pasado.

* CVE-2026-62721 (puntuación CVSS: 7.8) - Una granularidad insuficiente del control de acceso en Windows User-Mode Power Service (UMPS) que podría permitir a un atacante autorizado elevar privilegios localmente y obtener privilegios de SYSTEM.
* CVE-2026-85921 (puntuación CVSS: 8.2) - Una vulnerabilidad de "double free" en Windows Secure Kernel Mode que podría permitir a un atacante autorizado elevar privilegios localmente y obtener privilegios de Virtual Trust Level 1 (VTL1).

Ambos fallos han sido solucionados como parte de una actualización fuera de banda para Windows 11, versión 26H1:

* Actualización acumulativa de 2026-09 para Windows 11, versión 26H1 para sistemas basados en arm64 (KB5129194) (28000.2956)
* Actualización acumulativa de 2026-09 para Windows 11, versión 26H1 para sistemas basados en x64 (KB5129194) (28000.2956)

Esta revelación llega días después de que Microsoft parcheara un récord de 974 vulnerabilidades en su cartera de software a principios de la semana pasada. Dos de esos defectos que afectan a Windows Advanced Local Procedure Call (ALPC) y al Windows Update Stack han sido objeto de explotación activa.

Según informes de Proofpoint y Volexity, la vulnerabilidad ALPC ha sido encadenada con dos fallos de Google Chrome para desarrollar un kit de exploits llamado BlueMoon, que ha sido utilizado por múltiples actores de amenazas alineados con el espionaje para entregar cargas maliciosas.

Fuente:
THN