La corporación Microsoft ha completado el proceso de eliminación de una vulnerabilidad crítica en el servicio en la nube de gestión de identidades y accesos Entra ID. Se trata de un defecto identificado como CVE-2026-69836, que ha recibido la puntuación máxima posible en la escala CVSS: 10.0. Es un caso rarísimo en el que una vulnerabilidad se reconoce como absolutamente crítica en términos de daño potencial.
La esencia del problema radica en que la brecha permitía a un atacante remoto no autorizado ejecutar código arbitrario en el sistema sin ninguna acción por parte de la víctima. En otras palabras, para la explotación no se requerían clics en enlaces ni abrir archivos maliciosos: el ataque podía estar completamente automatizado y lanzarse de forma remota. Este vector hace que la vulnerabilidad sea especialmente peligrosa para entornos corporativos, donde Entra ID se utiliza como elemento central de control de acceso a miles de aplicaciones y recursos.
Es importante subrayar que la naturaleza de la vulnerabilidad indica problemas en la lógica de procesamiento de solicitudes de autenticación o en los componentes responsables de la validación de tokens. Teniendo en cuenta que Entra ID es la base de la infraestructura híbrida y en la nube de muchas organizaciones, un posible hackeo de este sistema significaría el compromiso total de todos los servicios asociados, desde el correo hasta las bases de datos corporativas.
Microsoft ya ha publicado actualizaciones que cierran esta brecha, aunque los detalles de la implementación técnica aún no se han revelado por completo. Recomiendo a todos los administradores que utilizan Entra ID que verifiquen de inmediato los registros de auditoría en busca de actividad sospechosa en las últimas semanas y se aseguren de que todas las actualizaciones automáticas se hayan aplicado.
Mi comentario: La puntuación CVSS de 10.0 no es solo una formalidad. Es una señal de que la vulnerabilidad podría haberse explotado como "día cero" antes del lanzamiento del parche. Para el mercado de criptomonedas y proyectos DeFi, donde el acceso a carteras y exchanges a menudo depende de soluciones SSO corporativas, incidentes como este son un recordatorio directo de la necesidad de diversificar las claves de acceso e implementar tokens de hardware. No se debe confiar únicamente en el proveedor de la nube, incluso si es Microsoft.