Microsoft ha actualizado la información sobre CVE-2026-69836, una vulnerabilidad crítica en Microsoft Entra ID. El cambio no rebaja su gravedad técnica, pero sí corrige un dato especialmente relevante: el aviso inicial señalaba que el fallo ya estaba siendo explotado, mientras que la versión revisada indica que no se ha utilizado en ataques reales.
El CVE se publicó el 20 de agosto con una puntuación CVSS de 10,0, el nivel máximo de la escala. Un día después, Microsoft modificó el estado de explotación tras una consulta de The Hacker News. Donde inicialmente se reflejaba que existía explotación, el aviso pasó a marcar que no la había.
Qué es CVE-2026-69836
Según el aviso de Microsoft, CVE-2026-69836 es una vulnerabilidad de ejecución remota de código (RCE) relacionada con una deserialización de datos no confiables, clasificada como CWE-502.
La vulnerabilidad tiene un vector de ataque especialmente grave: puede explotarse de forma remota, sin autenticación previa, sin privilegios y sin interacción del usuario. De ahí la puntuación CVSS 10,0.
Microsoft no ha proporcionado públicamente muchos detalles técnicos sobre el problema. El aviso no identifica el componente concreto afectado ni describe el endpoint o la estructura de una posible petición maliciosa. Tampoco se ha publicado un exploit público que permita reproducir el ataque.
El fallo fue descubierto por Robert Fitzpatrick, ingeniero de seguridad de Microsoft.
Microsoft rectifica el dato sobre la explotación
El aspecto que más ha cambiado desde la publicación inicial es el estado de explotación.
El aviso publicado el 20 de agosto indicaba que la vulnerabilidad estaba siendo explotada. Esa información fue recogida posteriormente por distintos medios de seguridad.
El 21 de agosto, sin embargo, Microsoft modificó el aviso después de ser consultada por The Hacker News. El campo correspondiente a la explotación pasó a indicar “No”, y la compañía confirmó que la vulnerabilidad no había sido explotada en ataques reales.
A día de hoy, la información disponible no respalda que CVE-2026-69836 se haya utilizado activamente contra organizaciones.
La diferencia es relevante. Una vulnerabilidad con CVSS 10,0 ya exige atención por su impacto potencial, pero una explotación activa cambia por completo la evaluación del riesgo operativo y la urgencia de una respuesta.
El fallo ya ha sido corregido
Para los usuarios de Microsoft Entra ID, hay un dato importante: no es necesario instalar ningún parche.
Entra ID es un servicio gestionado por Microsoft, no un componente que los clientes instalen y actualicen localmente. Microsoft afirma que la vulnerabilidad ya ha sido completamente mitigada en su infraestructura.
El aviso se mantiene como información de seguridad y transparencia, pero no incluye ninguna acción específica que los administradores de Entra ID deban realizar para corregir el problema.
En la práctica, un usuario de Microsoft 365 no tiene que descargar una actualización ni modificar su configuración de Entra ID para solucionar CVE-2026-69836.
¿Hay que cambiar las contraseñas?
Microsoft no ha indicado que sea necesario cambiar contraseñas o rotar credenciales como consecuencia de esta vulnerabilidad.
Tampoco ha señalado que los clientes tengan que activar una medida de seguridad específica relacionada con CVE-2026-69836.
Las recomendaciones habituales para las cuentas de Microsoft 365 siguen siendo aplicables: utilizar autenticación multifactor, aplicar políticas de acceso adecuadas y limitar los privilegios según las necesidades reales de cada usuario.
En organizaciones que quieran revisar sus registros por precaución, puede ser razonable conservar y analizar los inicios de sesión y los registros de auditoría de Entra ID. Sería una medida de vigilancia, no una mitigación exigida por Microsoft para esta vulnerabilidad.
Qué significa realmente el CVSS 10,0
La puntuación máxima puede llamar la atención, especialmente porque Microsoft ha confirmado que el fallo no fue explotado.
El CVSS mide las características y el impacto potencial de una vulnerabilidad, no el número de ataques producidos ni el daño causado en la práctica.
En este caso, la puntuación refleja que el fallo puede explotarse remotamente y no requiere autenticación, privilegios previos ni interacción del usuario.
Eso explica por qué Microsoft lo considera una vulnerabilidad de máxima gravedad. No significa que todos los usuarios de Microsoft 365 hayan estado expuestos a un ataque ni que se haya producido un compromiso de cuentas.
Una corrección relevante en el aviso
La principal novedad de CVE-2026-69836 no es una nueva vulnerabilidad ni una nueva medida que deban aplicar los clientes. Es la rectificación del estado de explotación publicado inicialmente por Microsoft.
El aviso original indicaba que el fallo había sido explotado. Tras la actualización del 21 de agosto, Microsoft señala que no fue explotado en el mundo real y que la vulnerabilidad ya está mitigada.
Por ahora tampoco existe código de explotación público. Para los usuarios finales, no hay ninguna acción específica que realizar: el fallo afectaba a un servicio de Microsoft que la compañía ya ha corregido, y el cambio relevante es que CVE-2026-69836 no fue explotado, pese a lo que indicaba el aviso inicial.
