Microsoft avisa de tres vulnerabilidades en AAD App Proxy, Azure Pipelines y Exchange Online, una de ellas con CVSS 10
Microsoft ha publicado avisos sobre tres vulnerabilidades en servicios de identidad, desarrollo y correo en la nube, dos de ellas críticas y explotables sin autenticación. No consta explotación activa ni hay exploit público conocido, pero conviene revisar los avisos y comprobar la exposición.
Qué ha pasado
El 22 de octubre de 2026 Microsoft publicó, a través de su centro de respuesta de seguridad (MSRC), avisos sobre tres vulnerabilidades: CVE-2026-97785, CVE-2026-105014 y CVE-2026-96185. Los datos proceden del aviso del fabricante; NVD todavía no las ha publicado, por lo que podrían conocerse más detalles en los próximos días.
Dos de los fallos son críticos y pueden explotarse a través de la red sin credenciales ni interacción del usuario. El tercero, de gravedad alta, exige que el atacante esté autenticado.
- CVE-2026-97785 (CVSS 10, crítica): fallo de autenticación en AAD App Proxy que permite a un atacante sin autenticar realizar una escalada de privilegios a través de la red. Su impacto puede extenderse más allá del componente vulnerable.
- CVE-2026-105014 (CVSS 9.1, crítica): inyección de comandos en Azure Pipelines por un saneamiento de la entrada insuficiente, que permite a un atacante sin autenticar ejecutar código a través de la red.
- CVE-2026-96185 (CVSS 7.5, alta): desbordamiento de búfer en la stack de Microsoft Exchange Online que permite a un atacante autenticado ejecutar código a través de la red. La explotación tiene una complejidad alta.
A quién afecta
Según las descripciones de Microsoft, los servicios implicados son AAD App Proxy (el proxy de aplicaciones de Azure Active Directory), Azure Pipelines y Exchange Online. Esto apunta a organizaciones que publican aplicaciones internas mediante el proxy de aplicaciones, que usan Azure Pipelines para compilar y desplegar software o que tienen su correo en Exchange Online.
Los avisos disponibles no detallan versiones ni componentes concretos afectados, y la asignación de productos se basa en la descripción de cada vulnerabilidad. Las dos críticas merecen especial atención: el proxy de aplicaciones da acceso a aplicaciones internas y las pipelines suelen manejar código fuente, secretos y credenciales de despliegue.
Estado de la explotación
Ninguna de las tres vulnerabilidades figura en el catálogo KEV de CISA, por lo que no hay explotación activa confirmada, y no se conoce ningún exploit público. Aun así, la combinación de puntuación máxima, acceso por red y ausencia de autenticación hace de CVE-2026-97785 y CVE-2026-105014 objetivos atractivos en cuanto se publiquen más detalles técnicos.
Qué hacer
Se trata de servicios en la nube gestionados por Microsoft, pero la información disponible no detalla si los clientes deben realizar alguna acción para quedar protegidos. Recomendamos:
- Consultar los avisos de MSRC de cada CVE y confirmar si Microsoft indica acciones por parte del cliente.
- Inventariar el uso de AAD App Proxy, Azure Pipelines y Exchange Online, y qué aplicaciones internas se publican a través del proxy.
- Revisar los registros de inicio de sesión y de auditoría en busca de accesos o cambios de privilegios inusuales.
- Revisar los permisos de las pipelines y los secretos que manejan, limitándolos al mínimo necesario.
- Seguir la publicación en NVD y las posibles actualizaciones de los avisos del fabricante.
Fuentes
Tecnologías afectadas
Vulnerabilidades (3)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-105014 | Crítica (9.1) | — | 22/10/2026 | Recibida |
| CVE-2026-96185 | Alta (7.5) | — | 22/10/2026 | Recibida |
| CVE-2026-97785 | Crítica (10) | — | 22/10/2026 | Recibida |
Reciba los avisos
Vulnerabilidades relevantes, víctimas notorias de ransomware, grupos nuevos y el boletín semanal, en cuanto se publican.
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.