La brecha silenciosa que nadie puede ver: por qué CVE-2026-69836 Keeps en vela a los equipos de seguridad
Una vulnerabilidad de Entra ID con puntuación CVSS 10 fue explotada activamente en la naturaleza antes de que Microsoft la parcheara, pero la compañía se niega a revelar quién atacó, qué se accedió o cuánto tiempo permaneció abierta la puerta. Para las empresas que ejecutan infraestructura de identidad de Microsoft, el silencio es la verdadera amenaza.
La Parche llegó. Las preguntas no.
Microsoft declaró la victoria el jueves. Una vulnerabilidad de gravedad máxima en Entra ID —la columna vertebral de identidades en la que millones de organizaciones confían para autenticar usuarios y controlar el acceso a recursos en la nube— había sido neutralizada. Rastreada como CVE-2026-69836, la falla tenía una puntuación CVSS perfecta de 10.0. La infraestructura vulnerable ahora estaba parcheada, la puerta estaba cerrada y, según Microsoft, no se requería ninguna acción por parte de los clientes.
Solo hay un problema. Microsoft aún se niega a decir quién pasó por esa puerta, cuántos edificios vació o cuánto tiempo permaneció la cerradura asegurada antes de que lo notaran.
Esto no es inusual en el mundo de la ciberseguridad. Cuando se explota una vulnerabilidad en la naturaleza, los proveedores a menudo dudan en divulgar detalles que podrían ayudar a los atacantes a refinar sus técnicas o alertar a la competencia. Pero el silencio aquí resulta particularmente incómodo debido a lo que Entra ID representa realmente. No se trata de un software que su equipo de TI instala y parchea. Es el servicio de identidad en la nube de Microsoft, situado en el centro de la autenticación de organizaciones que utilizan Office 365, Azure y el ecosistema más amplio de la nube de Microsoft. Cuando Entra ID falla o es comprometido, organizaciones enteras pierden la capacidad de verificar la identidad de sus usuarios.
Qué permite la vulnerabilidad en realidad
Según Microsoft, la falla proviene de una deserialización insegura, una clase de vulnerabilidad que ha atormentado a los ingenieros de software durante décadas. En términos sencillos, la aplicación reconstruye datos proporcionados desde una fuente no confiable sin validarlos adecuadamente. Un atacante puede suministrar al sistema una carga útil especialmente diseñada que, al deserializarse, ejecuta código arbitrario en el servidor.
El detalle crítico es que esta vulnerabilidad no requiere ni autenticación ni interacción del usuario. Un atacante no necesita credenciales válidas. No necesita engañar a un usuario para que haga clic en un enlace o abra un archivo adjunto. La explotación ocurre a través de la red, completamente sin autenticar, con una baja complejidad de ataque.
El aviso de Microsoft establece claramente: la deserialización de datos no confiables en Microsoft Entra ID permite que un atacante no autorizado ejecute código a través de una red. Esto es aproximadamente toda la transparencia que la compañía ha ofrecido con respecto a la explotación observada.
El silencio es el arma
Esto es lo que sabemos: existía una vulnerabilidad CVSS 10.0 en Entra ID. Los atacantes ya la estaban explotando en la naturaleza. Microsoft descubrió la explotación y parcheó la vulnerabilidad. El parche está activo. La falla está mitigada.
Esto es lo que desconocemos: ¿quién explotó CVE-2026-69836? ¿Cuándo comenzaron los ataques? ¿Qué tan extendida fue la explotación? ¿Qué accedieron los atacantes tras la explotación exitosa? ¿Cuánto tiempo permaneció la vulnerabilidad activa antes de que Microsoft la detectara y parcheara?
Microsoft se ha negado a responder estas preguntas. La compañía no ha publicado detalles técnicos sobre la cadena de ataque. No existe información pública sobre el método específico de explotación más allá de la descripción genérica de deserialización insegura. Al ser contactado para comentarios, Microsoft no respondió a solicitudes de detalles adicionales.
Este silencio crea una situación particularmente incómoda para los equipos de seguridad. Sin conocer el alcance de la explotación, las organizaciones no pueden determinar si fueron objetivo. Sin saber qué accedieron los atacantes, las organizaciones no pueden evaluar el radio de explosión. Sin conocer cuándo comenzaron y terminaron las explotaciones, las organizaciones no pueden establecer una línea temporal del compromiso.
Por qué esto importa más allá de los clientes de Microsoft
Entra ID no es un producto exclusivamente de Microsoft. Es un proveedor de identidades que sirve a organizaciones a lo largo del ecosistema tecnológico. Muchas empresas utilizan Entra ID para autenticar usuarios en aplicaciones SaaS de terceros, conexiones VPN y herramientas internas. Cuando Entra ID se ve comprometido, el radio de explosión se extiende mucho más allá de los propios servicios de Microsoft.
Un atacante que obtiene acceso a Entra ID controla la capa de identidades. Puede suplantar usuarios, escalar privilegios, acceder a aplicaciones conectadas y moverse lateralmente a través de la infraestructura de una organización. El impacto en la confidencialidad, integridad y disponibilidad es alto según cualquier métrica.
La puntuación CVSS 10.0 refleja esta realidad. La falla es exploitable de forma remota. Tiene baja complejidad de ataque. No requiere privilegios ni interacción del usuario. Puede tener un alto impacto en las tres dimensiones de la tríada CIA.
Qué deben hacer los administradores
Microsoft ha declarado que no se requiere ningún parche desplegado por el cliente. Dado que Entra ID es un servicio en la nube operado por Microsoft, la compañía pudo corregir la infraestructura vulnerable por sí misma en lugar de enviar una actualización para que los clientes la instalen. El parche está activo. La vulnerabilidad está mitigada.
Sin embargo, la mitigación no equivale a la restauración. Las organizaciones deben asumir que, si la vulnerabilidad fue explotada en la naturaleza, algunos datos pueden haber sido accedidos durante el período entre el descubrimiento y el parcheo. Los equipos de seguridad deben revisar los registros de autenticación en busca de actividad anómala, particularmente alrededor del momento en que se divulgó la vulnerabilidad.
Las organizaciones también deben considerar la posibilidad de que los atacantes hayan establecido mecanismos de persistencia antes de que se desplegara el parche. Las descargas de credenciales, cuentas de backdoor o políticas de acceso modificadas podrían permanecer activas incluso después de que la vulnerabilidad esté cerrada.
Las implicaciones más amplias
CVE-2026-69836 no es solo otra vulnerabilidad en un servicio en la nube. Es un recordatorio del riesgo estructural incrustado en la infraestructura de identidades centralizadas. Cuando el proveedor de identidades de una organización se ve comprometido, el atacante controla las llaves del reino. Puede suplantar a cualquier usuario, acceder a cualquier aplicación conectada y moverse lateralmente a través de toda la infraestructura.
Microsoft agradeció al ingeniero principal de seguridad Robert Fitzpatrick por descubrir y reportar la vulnerabilidad. La compañía no ha explicado cómo detectó la explotación en la naturaleza. Esta brecha entre la detección y la divulgación sigue siendo una debilidad persistente en el ecosistema de ciberseguridad.
El parche ha llegado. La puerta está cerrada. Pero las preguntas sobre lo que sucedió mientras la cerradura estaba asegurada permanecen sin respuesta — y en la seguridad de identidades, esas preguntas sin respuesta son en sí mismas una vulnerabilidad.