Microsoft ha implementado un nuevo sistema de evaluación en sus programas de recompensas por errores, donde la calidad de la evidencia presentada por los investigadores es determinante para el pago. En el programa de Azure, los informes sobre ejecución remota de código y escalada de privilegios podrán recibir $40,000 si se clasifican como "Completos", mientras que aquellos marcados como "No Completos" solo recibirán $4,000.

El grupo Storm-3168 llevó a cabo un ataque destructivo contra un entorno de Azure en tan solo siete minutos, utilizando identidades de nube comprometidas. Esta operación demuestra cómo el robo de credenciales de una aplicación puede otorgar a un intruso un control total sobre los datos, los servicios y las protecciones de recuperación, evidenciando la creciente amenaza de los ataques automatizados en la nube. Esta actividad ha sido vinculada al agente JADEPUFFER.

Se descubrió una vulnerabilidad en el servidor MCP de Azure DevOps de Microsoft que permite ataques de inyección de prompts indirectos mediante comentarios HTML invisibles en las descripciones de pull requests. Un atacante puede engañar al agente de IA de un revisor para que acceda a proyectos confidenciales y filtre datos usando los permisos del usuario afectado. El problema radica en que Microsoft omitió una protección de seguridad ya implementada en otras herramientas del mismo servidor.

Se ha descubierto una vulnerabilidad en el servidor MCP oficial de Azure DevOps de Microsoft que permite que un comentario invisible en una solicitud de extracción (*pull request*) secuestre el asistente de IA de un desarrollador. Según los investigadores de Manifold Security, este fallo permite que un atacante con acceso a un solo proyecto convierta la herramienta de IA en un instrumento de filtración de datos.

Investigadores advirtieron sobre un masivo ataque de password spray contra Azure CLI que comprometió 78 cuentas en 64 organizaciones. Los atacantes utilizaron el flujo obsoleto ROPC para evadir las políticas de acceso condicional y la autenticación de doble factor (MFA). Se recomienda a las empresas configurar correctamente sus políticas de MFA para todas las aplicaciones y usuarios para cerrar estas vulnerabilidades.

Microsoft ha extendido el soporte de hotpatching para Windows Server 2022 Datacenter: Azure Edition hasta 2027, permitiendo aplicar actualizaciones de seguridad sin reiniciar el servidor. Esta función, que reduce los tiempos de inactividad, beneficia exclusivamente a los usuarios de Azure y no a las instalaciones locales. El objetivo es facilitar la transición hacia Windows Server 2025 mientras se evitan los reinicios mensuales.

Microsoft presenta Azure Linux 4.0, su propia distribución de Linux para uso general. Este movimiento marca un cambio radical en la historia de la compañía, pasando de combatir al sistema operativo de código abierto a depender totalmente de su ecosistema.

Una versión comprometida de la popular extensión Nx Console para VS Code fue publicada en el marketplace de Visual Studio Code el 18 de mayo de 2026. El ataque tuvo como objetivo robar silenciosamente credenciales de desarrolladores, tokens de infraestructura en la nube y secretos de canalizaciones CI/CD en miles de máquinas, representando el segundo ataque a la cadena de suministro contra el ecosistema Nx en menos de un año.

El rápido auge de la inteligencia artificial generativa ha traído consigo nuevas preocupaciones de seguridad que las organizaciones ya no pueden permitirse ignorar. Microsoft ha presentado ahora un marco detallado de salvaguardias de seguridad diseñado para proteger los modelos de IA generativa alojados en su plataforma Azure AI Foundry, abordando una creciente amenaza que se sitúa en la intersección del suministro de software 

Microsoft lanza Azure Linux, su distribución propia optimizada para la nube, diferenciándose de sistemas como Ubuntu o Fedora y ofreciendo una alternativa a Windows 11 para desarrolladores.

Una vulnerabilidad de alta gravedad en la implementación de Azure Single Sign-On del Windows Admin Center ha expuesto máquinas virtuales de Azure y sistemas conectados a Arc a accesos no autorizados en inquilinos completos. Los laboratorios de investigación de Cymulate descubrieron el fallo, ahora registrado como CVE-2026-20965, que demuestra cómo una validación incorrecta de tokens puede derribar los límites de seguridad entre máquinas individuales y entornos completos de Azure. 

 Microsoft, Nvidia y Anthropic han anunciado una nueva alianza estratégica que pretende reforzar sus lazos en un contexto de inquietud por la burbuja de la IA. Según ha comunicado Anthropic, la firma destinará 30.000 millones de dólares para adquirir capacidad computacional de Azure, nube de Microsoft, con el objetivo de elevar sus prestaciones computacionales hasta un gigavatio. El objetivo de la firma encabezada por Dario Amodei es garantizar el crecimiento del modelo de IA Claude dentro de la nube de Microsoft, desarrollada por procesadores de Nvidia, para que sus servicios puedan ser utilizados por diferentes empresas.

 Monkey365 es una herramienta de seguridad de código abierto que permite realizar revisiones de configuración de seguridad Microsoft 365, Azure y Microsoft Entra ID sin el peso significativo de las API de herramientas de aprendizaje o paneles de administración complejos.