Microsoft cierra una grave vulnerabilidad en Entra ID – Se descubre un exploit con la máxima puntuación

¿Os ha puesto un poco nervioso, verdad? Microsoft acaba de parchear una vulnerabilidad de seguridad realmente preocupante en Entra ID (antes conocido como Azure Active Directory), y el fallo era tan peligroso que ha obtenido la máxima puntuación de 10 sobre 10 en la escala CVSS. Para quienes aún no lo tengáis claro: esto es tan malo como suena.
La brecha fue detectada por los expertos en seguridad de Semperis y se trata de una vulnerabilidad de omisión de autenticación (Authentication Bypass). En términos sencillos: los ciberdelincuentes podrían haberse hecho pasar por usuarios legítimos, accediendo a datos y sistemas sensibles sin necesidad de superar ningún obstáculo. En otras palabras, un ataque de zero-click (sin interacción del usuario) donde no se requería ninguna acción adicional para explotar la falla.
¿Cómo funcionaba la vulnerabilidad y por qué es tan peligrosa?
Imaginaos que, para entrar en vuestra red corporativa, recibís un "pase digital" (token) que valida vuestra identidad. Este token lo genera el servicio de autenticación de Microsoft y debe ser válido. Sin embargo, la vulnerabilidad permitía falsificar este pase, y el sistema lo aceptaba sin detectar ningún problema.
Si un atacante hubiera logrado esto, las consecuencias habrían sido devastadoras:
- Movimiento lateral en la red: Una vez que hubieran tomado el control de una cuenta, los piratas informáticos podrían moverse libremente dentro del sistema, como un intruso que avanza de habitación en habitación en una casa.
- Robo de datos: Todo lo que no estuviera debidamente protegido —datos de usuarios, correos electrónicos, documentos confidenciales— habría estado en riesgo.
- Ransomware: Con el control de Entra ID, los cibercriminales podrían haber manipulado copias de seguridad o propagado ransomware en toda la infraestructura.
Microsoft ha confirmado que parcheó la vulnerabilidad antes de que saliera a la luz pública y no hay evidencia de que haya sido explotada en la naturaleza. Es una buena noticia, pero el incidente demuestra una vez más lo rápido que pueden surgir este tipo de amenazas.
Recomendaciones de Microsoft y acciones que deben tomar las empresas
Microsoft ha lanzado una actualización de seguridad como parte del Patch Tuesday mensual. Las empresas más afectadas son aquellas que usan Entra ID para autenticación multifactor (MFA), inicio de sesión único (SSO) o gestión de identidades. Así que, ¡actualizad ya!
Pero eso no es todo. Los expertos recomiendan seguir



estos pasos adicionales:
1. Revisar los registros (logs): Buscad intentos de inicio de sesión sospechosos o actividades inusuales con tokens.
2. Políticas de acceso condicional (Conditional Access Policies): Estableced restricciones adicionales para el acceso a los sistemas, como una puerta de seguridad adicional.
3. Auditorías periódicas: Contratad expertos independientes para revisar vuestros sistemas y detectar posibles fallas similares antes de que sean explotadas.
4. Microsoft Defender for Identity: Esta herramienta puede identificar comportamientos sospechosos y alertar sobre posibles robos de identidad, funcionando como un sistema de alerta temprana.
¿Por qué una puntuación CVSS de 10,0 es tan alarmante?
Una puntuación de 10,0 en la escala CVSS es la máxima posible. Esto significa que la vulnerabilidad es:
Fácil de explotar (no requiere conocimientos avanzados).
Requiere muy pocos recursos para ser utilizada.
Tiene un impacto máximo en la seguridad.
Para ponerlo en contexto, la famosa vulnerabilidad Log4j (CVE-2021-44228), que también tenía una puntuación de 10,0, generó caos a nivel mundial. Ambas fallas tienen algo en común: ataquen directamente las identidades, el corazón de cualquier infraestructura TI.
Lecciones que debemos aprender de este incidente
Este caso es una llamada de atención urgente sobre la seguridad en la nube. El robo de identidades sigue siendo una de las mayores amenazas para las empresas, y la vulnerabilidad en Entra ID es un ejemplo perfecto de lo rápido que pueden surgir estos riesgos.
Aunque Microsoft actuó con rapidez, sigue habiendo una pregunta clave: ¿Cuántas vulnerabilidades similares podrían estar esperando a ser descubiertas en los servicios en la nube?
Las empresas no deben esperar a que salgan parches. Deben ser proactivas en su estrategia de ciberseguridad:
Integrar la seguridad desde el diseño, no solo como medida de emergencia.
Realizar pruebas de penetración y auditorías con frecuencia para verificar la robustez de los sistemas.
Formar a los empleados, ya que, en muchos casos, son las personas —no los sistemas— las que terminan explotando errores (por ejemplo, mediante ingeniería social).
La vulnerabilidad en Entra ID ya está resuelta, pero este incidente debería servir como recordatorio de que, en un mundo donde cada vez más procesos empresariales migran a la nube, la seguridad no es un extra opcional, sino una obligación. Manteneos alerta, equipad vuestras defensas y no bajéis la guardia.