Microsoft Entra ID: CVE-2026-69836 fue parchada

Microsoft corrigió internamente CVE-2026-69836 en Microsoft Entra ID, una vulnerabilidad crítica de ejecución remota de código basada en deserialización de datos no confiables que, según NVD y otros análisis técnicos, podía permitir a un atacante no autenticado ejecutar código a través de la red. La compañía dijo que el problema fue resuelto del lado del servidor, publicó el CVE por transparencia y sostuvo que no hay acciones adicionales que los clientes deban realizar.

¿Qué tipo de falla es CVE-2026-69836?

Es una debilidad CWE-502, es decir, deserialización de datos no confiables, dentro de Microsoft Entra ID. NVD la describe como una falla de ejecución remota de código, mientras que Rapid7 la calificó con CVSS 3.1 de 10.0, en nivel crítico, con vector de ataque por red, baja complejidad, sin privilegios previos y sin interacción de usuario.

Los datos técnicos disponibles coinciden en que se trata de un problema de máxima severidad. OpenCVE y Tenable la presentan como una RCE crítica explotable por un atacante no autenticado mediante datos serializados enviados por la red. CIRCL expone además el vector completo AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, lo que marca impacto potencial sobre confidencialidad, integridad y disponibilidad en un servicio de identidad centralizado.

¿Qué dijo Microsoft y qué pasó con el estado de explotación?

Microsoft, según un portavoz citado por The Hacker News, identificó y solucionó la vulnerabilidad internamente en Entra ID, publicó el CVE por transparencia y afirmó que no hay medidas adicionales para los clientes. SecurityWeek informó en la misma línea que el parche fue aplicado del lado del servidor y que no se requerían acciones por parte de quienes usan el servicio.

The Hacker News también reportó que el boletín de seguridad de Microsoft mostró inicialmente el campo "Exploited" como "Yes" y luego lo corrigió a "No", dejando asentado que la vulnerabilidad no había sido explotada en la wild. Yahoo Tech interpretó ese cambio como un ejemplo de las dificultades de divulgación en infraestructuras de identidad críticas.

¿Qué alcance técnico y operativo se atribuye al fallo?

OpenCVE señala que no se difundieron versiones exactas afectadas de Microsoft Entra ID, pero advierte que cualquier despliegue sin actualización reciente debe considerarse potencialmente vulnerable hasta nueva evidencia. Dbcve.org describe que la raíz técnica está en reconstruir objetos a partir de datos serializados controlados por un atacante y recomienda como remediación duradera evitar la deserialización de entrada no confiable o limitarla estrictamente por tipos e integridad.

Pese a la severidad, el aviso técnico de Strix.ai agregó una métrica EPSS de 1,37% de probabilidad de explotación en los próximos 30 días, lo que sugiere un riesgo práctico inicial moderado frente a una clasificación CVSS máxima. Penligent, por su parte, sostuvo que sigue siendo una RCE no autenticada de severidad máxima en un servicio de identidad crítico, aunque sin explotación verificada en el mundo real al momento de su publicación.

Feedly indicó que no había un proof-of-concept público disponible cuando publicó su ficha, aunque sí registró reportes de varias fuentes sobre posible explotación. Vulnerability-Lookup también consignó menciones iniciales de explotación, pero esa lectura quedó matizada por Microsoft y The Hacker News al corregir el estado a no conocido. CybersecurityNews amplió el posible impacto funcional al señalar que el backend de Entra ID se usa para autenticar usuarios en Microsoft 365, Azure y numerosas aplicaciones de terceros, aunque no se reportó un ángulo específico para América Latina en el material revisado.