Microsoft publica una vulnerabilidad de gravedad máxima en el registro de dispositivos de Entra

Qué ha pasado

El 6 de noviembre de 2026 se publicó en NVD, la base de datos nacional de vulnerabilidades de Estados Unidos, la vulnerabilidad CVE-2026-109469. Según su descripción, afecta a Entra Device Registration y consiste en un bypass (elusión) de la autorización mediante una clave controlada por el usuario. En la práctica, el sistema se fía de un identificador que el propio atacante puede manipular para decidir a qué recursos tiene acceso.

El resultado es una escalada de privilegios a través de la red: un atacante sin autorización podría obtener permisos que no le corresponden. La vulnerabilidad tiene la puntuación máxima, CVSS 10, en la escala de gravedad CVSS.

• Se puede atacar a través de la red y con baja complejidad.
• No requiere credenciales previas ni interacción de ningún usuario.
• El impacto puede extenderse más allá del componente vulnerable (alcance modificado).
• El impacto es alto en confidencialidad, integridad y disponibilidad.

A quién afecta

Según la descripción, el fallo está en el registro de dispositivos de Microsoft Entra, por lo que concierne a las organizaciones que usan Entra para dar de alta y gestionar los equipos de sus empleados. La vinculación con este producto se ha inferido de la descripción de la CVE y no se ha verificado de forma independiente.

Los datos disponibles no precisan versiones, configuraciones afectadas ni si el fallo reside en el servicio en la nube o en algún componente que el cliente deba actualizar. Al tratarse de una pieza ligada a la gestión de identidades y accesos, conviene darle prioridad aunque falten detalles.

Estado de la explotación

CVE-2026-109469 no figura por ahora en el catálogo KEV de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, por lo que no hay confirmación de ataques en curso. Tampoco se conoce ningún exploit público. Es una vulnerabilidad recién publicada y esta situación puede cambiar en los próximos días.

Qué hacer

El fabricante no ha detallado todavía, en la información disponible, si la corrección se aplica directamente en el servicio o si exige alguna acción por parte de los clientes. Mientras tanto, recomendamos estos pasos:

• Seguir la información que publique Microsoft sobre CVE-2026-109469 y aplicar sin demora cualquier actualización o mitigación que indique.
• Identificar si su organización usa el registro de dispositivos de Entra y qué sistemas y equipos dependen de él.
• Revisar los registros de auditoría de Entra en busca de altas de dispositivos o cambios de privilegios inusuales en los últimos días.
• Como medida general, limitar quién puede registrar dispositivos y revisar las políticas de acceso asociadas.
• Vigilar si la vulnerabilidad se incorpora al catálogo KEV de CISA, lo que indicaría explotación activa y obligaría a actuar con urgencia.

Tecnologías afectadas

Vulnerabilidades (1)