Microsoft divulgó una vulnerabilidad crítica de ejecución remota de código que afecta a Entra ID, su servicio de gestión de identidades y accesos en la nube, y confirmó que la falla ya fue corregida.

Identificada como CVE-2026-69836, la vulnerabilidad recibió una puntuación CVSS de 10.0, la más alta posible. Según el aviso de seguridad de Microsoft, la falla podía explotarse a través de una red con una complejidad de ataque baja y no requería privilegios ni interacción del usuario, lo que significa que un atacante no autorizado podía ejecutar código de forma remota sin ningún acceso previo al entorno objetivo.

Entra ID es la plataforma de identidades en la nube de Microsoft, conocida anteriormente como Azure Active Directory, y funciona como la capa de inicio de sesión y control de acceso para Microsoft 365, Azure y un gran número de aplicaciones empresariales de terceros. Dado que las plataformas de identidad se ubican aguas arriba de los servicios que confían en ellas, las fallas de seguridad en sistemas como Entra ID atraen un intenso escrutinio por parte de los equipos de seguridad empresarial.

La vulnerabilidad se originó en un problema de deserialización. La deserialización es el proceso de convertir datos en un formato que una aplicación pueda utilizar; si la aplicación no valida correctamente esos datos, un atacante podría manipularlos para ejecutar código malicioso. Las fallas de deserialización son una clase de debilidad reconocida desde hace tiempo (catalogada por MITRE como CWE-502) y han sido aprovechadas repetidamente para lograr la ejecución remota de código en software de uso generalizado.

Microsoft señaló que identificó y corrigió la vulnerabilidad antes de publicar el CVE. Las plataformas de identidad en la nube han sido blanco de ataques de alto perfil en el pasado: en 2023, atacantes utilizaron una clave de firma de Microsoft robada para falsificar tokens de Azure AD (el nombre que tenía Entra ID antes del cambio de marca) y acceder al correo electrónico de aproximadamente 25 organizaciones, incluidas agencias del gobierno de Estados Unidos. Tras ese incidente, Microsoft lanzó su Secure Future Initiative, un esfuerzo a escala de toda la empresa para fortalecer sus productos y sus prácticas de ingeniería.

“Identificamos y abordamos este problema con una corrección y publicamos el CVE-2026-69836 para mayor transparencia”, declaró a Decrypt un portavoz de Microsoft en un comunicado. “Los clientes no necesitan tomar ninguna medida adicional”. Dado que Entra ID funciona como un servicio en la nube administrado y no como un software que los clientes instalan y mantienen por su cuenta, la corrección se desplegó en la infraestructura de Microsoft: no se requirió ningún parche por parte de los clientes.

Investigadores corrigieron posteriormente el estado de explotación de la vulnerabilidad de “Sí” a “No”, lo que confirma que no fue explotada en el mundo real, una revisión que Microsoft describió como “solamente un cambio informativo”. La empresa señaló que la falla no fue divulgada públicamente y calificó la explotación como “menos probable”.

La divulgación llega en un momento en que la inteligencia artificial desempeña un papel cada vez mayor en la detección de vulnerabilidades de seguridad, con investigadores y empresas tecnológicas utilizando sistemas de IA para identificar fallas que de otro modo podrían pasar desapercibidas.

En mayo, un investigador de seguridad que utilizaba Claude Opus 4.8 de Anthropic descubrió una vulnerabilidad de cuatro años de antigüedad en el pool de privacidad Orchard de Zcash que podría haber permitido a un atacante crear ZEC falsificados.

Microsoft también ha estado desarrollando herramientas de IA para el descubrimiento de vulnerabilidades. En julio, la compañía incorporó su modelo de ciberseguridad MAI-Cyber-1-Flash a MDASH, un sistema que utiliza más de 100 agentes de IA para encontrar y validar vulnerabilidades de software.

Ese mismo mes, Anthropic reveló que modelos de Claude habían comprometido a tres empresas durante pruebas internas de ciberseguridad, después de que un error de configuración diera a los modelos acceso a internet.