es

CVE-2026-69836: el CVSS Crítico de Microsoft Entra ID 10.0 Deserialization Día Cero

Análisis técnico de CVE-2026-69836, un defecto de deserialización CVSS 10.0 en Microsoft Entra ID dirigido activamente en infraestructura de identidad de la nube.

James Luther

James Luther

— 2 min read
CVE-2026-69836: el CVSS Crítico de Microsoft Entra ID 10.0 Deserialization Día Cero
📌
Serie de resúmenes de seguridad: Semana del 21 de agosto de 2026 • 5 min de lectura

Una vulnerabilidad crítica CVSS 10.0 de ejecución de código remoto en Microsoft Entra ID (anteriormente Azure Active Directory) permitió a los actores de la amenaza ejecutar código arbitrario dentro de las infraestructuras de identidad de la nube a través de la deserialización de objetos no confiables.

🚨
Inteligencia de vulnerabilidad: ID CVE: CVE-2026-69836 (CWE-502: Deserialization of Untrusted Data) Severidad: Crítica (CVSS 10.0) Situación: 🚨 Exploited in the Wild (Cloud-Side Mitigated by Microsoft) Sistemas afectados: Microsoft Entra ID cloud identity services prior to mitigation rollout Fijado en: Server-side cloud mitigation applied globally by Microsoft

Root-Cause Architecture " Attack Vectors

Microsoft Entra ID procesa reclamaciones de identidad, tokens SAML y descargas de sincronización de directorios entre controladores de dominio en locales y inquilinos de nube Azure. En CVE-2026-69836, un punto final de sincronización interna no pudo imponer restricciones de tipo durante la deserialización de atributos de identidad estructurados.

Un atacante remoto no autenticado capaz de enviar estructuras de carga útil artesanales podría instantánear clases arbitrarias .NET, logrando la ejecución de código remoto en el contexto del plano de control de identidad de la nube. Microsoft confirmó la telemetría indicando la explotación dirigida en el hogar antes de aplicar remediaciones universales de backend.

Recomendaciones de auditoría de la telemetría

🔍
Medidas de auditoría de los arrendatarios:Revise los registros de auditoría de ID de Entra para detectar asignaciones anómalas de funciones de administrador global o adiciones de credenciales de entidad de servicio. Audite la telemetría del agente Entra Connect/Cloud Sync en controladores de dominio locales para detectar sesiones salientes RPC o HTTP/3 inesperadas. Verifique que las políticas de acceso condicional exijan FIDO2 MFA resistente al phishing en todas las funciones administrativas.

Lista de verificación de la rehabilitación

✅
Temas de acción: Mitigación de la nube: No manual on-premises server patching is required for Entra ID SaaS tenants as Microsoft applied cloud-level fixes. Revisión del director de servicio: Conduct an automated audit of all third-party Enterprise Applications and consent permissions. Supervise los registros de identidad en la nube: Ingest Microsoft Graph activity logs into your SIEM to alert on unexpected OAuth permission grants.
🧭
Más inmersiones profundas de este resumen: CVE-2026-59310: VMware vCenter Syslog Path Traversal RCE TrueConf Server RCE Explotado por Head Mare (PhantomCore) CVE-2026-33824: Extensión de IKE de Windows RCE libre de doble CVE-2026-65400: Apple macOS Screen Sharing Auth Bypass ← Regresar al resumen semanal: resumen completo

Read more