Una vulnerabilidad de alta gravedad en la implementación de Azure Single Sign-On del Windows Admin Center ha expuesto máquinas virtuales de Azure y sistemas conectados a Arc a accesos no autorizados en inquilinos completos. Los laboratorios de investigación de Cymulate descubrieron el fallo, ahora registrado como CVE-2026-20965, que demuestra cómo una validación incorrecta de tokens puede derribar los límites de seguridad entre máquinas individuales y entornos completos de Azure. 

 Microsoft, Nvidia y Anthropic han anunciado una nueva alianza estratégica que pretende reforzar sus lazos en un contexto de inquietud por la burbuja de la IA. Según ha comunicado Anthropic, la firma destinará 30.000 millones de dólares para adquirir capacidad computacional de Azure, nube de Microsoft, con el objetivo de elevar sus prestaciones computacionales hasta un gigavatio. El objetivo de la firma encabezada por Dario Amodei es garantizar el crecimiento del modelo de IA Claude dentro de la nube de Microsoft, desarrollada por procesadores de Nvidia, para que sus servicios puedan ser utilizados por diferentes empresas.

 Monkey365 es una herramienta de seguridad de código abierto que permite realizar revisiones de configuración de seguridad Microsoft 365, Azure y Microsoft Entra ID sin el peso significativo de las API de herramientas de aprendizaje o paneles de administración complejos.

La división de inteligencia artificial (IA) de Microsoft expuso accidentalmente 38 TB de datos con información sensible de los empleados de la compañía —contraseñas de servicios, claves secretas, copias de seguridad de los ordenadores personales de los trabajadores, más de 30.000 mensajes internos de la aplicación Teams de cientos de empleados y otros datos confidenciales— mientras publicaban un depósito de almacenamiento de datos de capacitación de código abierto en GitHub.

Microsoft actualiza sus Términos de servicio y dentro de los cambios realizados, podremos encontrar la imposibilidad minar criptomonedas a través de servicios en línea, sin autorización emitida por la empresa.

Microsoft ha confirmado que parte de la información confidencial de sus clientes fue expuesta por un servidor de Microsoft mal configurado accesible a través de Internet. La empresa aseguró el servidor después de que los investigadores de seguridad de la empresa de inteligencia de amenazas SOCRadar le notificaran la filtración el 24 de septiembre de 2022.

Un cliente en Asia de microsoft Azure recibió el mayor ataque DDoS de la historia de internet. De tan sólo 15 minutos de duración, pero con 3,47 TB por segundo y 340 millones de paquetes (pps) y provino de más de 10.000 fuentes situadas en al menos 10 países de todo el mundo. El récord supera un ataque de 2,5 TB/s que Microsoft mitigó en el primer semestre de 2021. Anteriormente, uno de los mayores ataques tuvo un tamaño de 2,37 TB/s, un aumento del 35% sobre un récord establecido en 2018. Los vectores de ataque fueron el reflejo de UDP en el puerto 80 usando el Protocolo simple de detección de servicios (SSDP), el Protocolo ligero de acceso a directorios sin conexión (CLDAP), el Sistema de nombres de dominio (DNS) y el Protocolo de tiempo de red (NTP) que comprenden un solo pico y el total El ataque duró aproximadamente 15 minutos. 

 Se ha descubierto un fallo de seguridad en Azure App Service de Microsoft que resultó en la exposición del código fuente de las aplicaciones de los clientes escritas en Java, Node, PHP, Python y Ruby durante al menos cuatro años desde septiembre de 2017. Microsoft soluciona error NotLegit que permitía ver el código fuente de las apps utilizando "Local Git" en Azure App Service para Linux  en App escritas PHP, Python, Ruby o Node ya que repositorio local “/.git” era visible públicamente.

Múltiples vulnerabilidades críticas muy fáciles de explotar en OMI afectan innumerables clientes Microsoft Azure. En especial la vulnerabilidad  CVE-2021-38647  con una gravedad CVSS 9.8 sobre 10. La vulnerabilidad ya está siendo explotada por botnets como Mirai.