Una vulnerabilidad crítica en Microsoft Entra ID, el servicio de Microsoft que gestiona identidades y accesos en la nube, pudo poner en riesgo a más de 2,500 organismos públicos en México, entre dependencias de seguridad, instituciones financieras y de salud, empresas estratégicas y organismos de los gobiernos estatales y municipales, advirtió SILIKN.
La firma de ciberseguridad señaló que, hasta el momento, no hay información que confirme que estas organizaciones hayan sido comprometidas.
El riesgo surgió por la vulnerabilidad CVE-2026–69836, relacionada con una deserialización insegura y que obtuvo una puntuación de 10.0 en la escala CVSS, el nivel máximo de gravedad. Bajo determinadas condiciones, la falla podía permitir que atacantes sin autenticación suplantaran identidades y consiguieran ejecución remota de código (RCE).
El alcance de una posible explotación estaba relacionado con la función que cumple Entra ID dentro de las organizaciones. El servicio, anteriormente conocido como Azure Active Directory, se encarga de verificar los inicios de sesión y administrar el acceso a Microsoft 365, Azure y aplicaciones de terceros conectadas.
Por esa razón, una explotación exitosa podía permitir a los atacantes acceder a otros recursos dentro de los entornos en la nube. Entre los elementos que podían quedar comprometidos estaban las configuraciones de los tenants, las cuentas de usuarios, las comunicaciones por correo electrónico y las bases de datos asociadas con los servicios afectados.
En México, el posible alcance de la vulnerabilidad cobró relevancia por el uso extendido de Microsoft 365 y otros servicios de Microsoft entre instituciones de la Administración Pública Federal (APF).
Dentro del universo que pudo haber estado expuesto se encuentran dependencias de seguridad como la Secretaría de la Defensa Nacional (Sedena), la Secretaría de Marina (Semar) y la Guardia Nacional (GN).
También pudieron encontrarse dentro de ese universo instituciones financieras como la Secretaría de Hacienda y Crédito Público (SHCP), el Servicio de Administración Tributaria (SAT) y el Banco de México (Banxico), así como organismos de salud como el Instituto Mexicano del Seguro Social (IMSS) y el Instituto de Seguridad y Servicios Sociales de los Trabajadores del Estado (ISSSTE).
El posible alcance también incluyó a empresas estratégicas como Petróleos Mexicanos (Pemex) y la Comisión Federal de Electricidad (CFE), además de organismos autónomos como el Instituto Nacional Electoral (INE). La exposición potencial también pudo alcanzar sistemas utilizados por gobiernos estatales y municipales.
De acuerdo con una estimación basada en el volumen de instituciones federales, estatales y municipales que utilizan servicios de software e identidad bajo esquemas de contratación centralizada, más de 2,500 organismos gubernamentales mexicanos pudieron haber estado potencialmente expuestos.
La cifra corresponde al universo de organizaciones que pudieron encontrarse dentro del alcance técnico del servicio vulnerable, por lo que no significa que hayan sufrido un ataque o que hayan sido comprometidas.
Microsoft habría mitigado la vulnerabilidad de manera global, sin que los clientes tuvieran que realizar una intervención específica para aplicar el parche. Sin embargo, la corrección no permite determinar si el fallo pudo haber sido aprovechado antes de su mitigación.
Hasta ahora, no se ha precisado quién estuvo detrás de posibles ataques, cuándo habría comenzado una explotación activa, cuántas organizaciones pudieron verse afectadas ni qué acciones habrían realizado los atacantes después de obtener acceso a los entornos comprometidos.
Ante esta incertidumbre, las organizaciones que utilizan Entra ID, particularmente las dependencias gubernamentales, deberían analizar sus entornos para identificar posibles indicios de compromiso y determinar si durante el periodo de exposición ocurrió alguna actividad fuera de lo habitual.
Entre las revisiones prioritarias se encuentran las relacionadas con identidades y privilegios, aplicaciones registradas y sus permisos, así como posibles movimientos laterales dentro de los entornos de Azure y Microsoft 365. También pueden utilizarse las capacidades de monitoreo y análisis de Microsoft Purview para revisar actividades relacionadas con cuentas y aplicaciones.
La revisión puede complementarse con la revocación de sesiones activas, la validación de la configuración y los métodos de autenticación multifactor (MFA), así como la revisión de cuentas con privilegios elevados. También es necesario verificar las reglas y configuraciones del flujo de correo electrónico para descartar modificaciones no autorizadas.
Según SILIKN, estas medidas permitirían identificar posibles cambios realizados durante el periodo en que la vulnerabilidad estuvo presente y, en caso de que hubiera ocurrido una intrusión, detectar mecanismos que pudieran mantener el acceso a los entornos afectados.
er
