Azure AI Foundry no necesitaba credenciales para escalar privilegios — CVE-2026-85889, CVSS 10.0

Microsoft reveló el 17 de septiembre de 2026 que Azure AI Foundry — la plataforma empresarial para crear, implementar y gestionar aplicaciones y agentes de IA generativa, también comercializada como Microsoft Foundry — presentaba una vulnerabilidad de autenticación faltante calificada con CVSS 10.0, la máxima. Registrada como CVE-2026-85889 y clasificada como CWE-306, autenticación faltante para una función crítica, permitía a un atacante no autorizado alcanzar una función de backend a través de la red y escalar privilegios sin credenciales y sin interacción del usuario, según el aviso de Microsoft. La plataforma está alojada en la nube, por lo que la corrección se aplicó en la infraestructura propia de Microsoft y los clientes no tuvieron que instalar nada; Microsoft afirma que no encontró evidencia de que la vulnerabilidad se haya explotado alguna vez, y no se registra ningún daño por ella. Este incidente es una entrada en el Orca AI Incident Archive, que contiene el registro completo con sus fuentes citadas, calificación de gravedad, evaluación de confianza e indicador de disputa.

Lo que realmente dice el aviso

El Microsoft Security Response Center es breve, y casi todos los detalles publicados sobre esta vulnerabilidad provienen de él. Su descripción dice textualmente: «La falta de autenticación para una función crítica en Azure AI Foundry permite que un atacante no autorizado eleve privilegios a través de una red». No hay versiones afectadas, porque no hay versiones: el registro de MSRC para CVE-2026-85889 indica que la última versión del software disponible es N/A y no incluye enlaces de actualización ni de descarga, que es la forma habitual de un aviso para un servicio que Microsoft opera por sí misma.

MSRC califica la vulnerabilidad como Crítica con una puntuación base de 10.0, en el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — alcanzable a través de la red, baja complejidad de ataque, no se requieren privilegios, no se requiere interacción del usuario, alcance cambiado y alto impacto en la confidencialidad, la integridad y la disponibilidad. La entrada de NVD, publicada el 17 de septiembre de 2026 y modificada por última vez el 25 de septiembre, contiene la misma descripción y asigna la debilidad a CWE-306. En los campos "Exploited" y "Publicly Disclosed", Microsoft registra No y No.

El fallo fue encontrado por Rémy Marot, acreditado en el relato de The Hacker News sobre la divulgación y nombrado en la nota de investigación de Cloud Security Alliance como quien lo informó de manera responsable. Esa nota, publicada el 19 de septiembre de 2026, es la única fuente en el registro que examina lo que omite el aviso, y considera ese vacío como la noticia.

10.0 y 9.8: la única métrica en la que los dos anotadores discrepan

La cifra principal no es unánime. NVD muestra dos puntuaciones CVSS 3.1 para CVE-2026-85889, de dos evaluadores diferentes, y difieren exactamente en una métrica. La puntuación de Microsoft, registrada como fuente secundaria, es 10.0 en AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. La puntuación principal del propio NVD es 9.8 en AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Todos los componentes son idénticos excepto Alcance.

Microsoft califica el alcance como Cambiado; la puntuación primaria de NVD lo mantiene Sin cambios. Esa es toda la diferencia, y no es pedantería. En CVSS 3.1, un alcance Cambiado significa que el componente vulnerable y el componente afectado son autoridades de seguridad distintas: que el punto de apoyo del atacante y aquello que acaba controlando quedan en lados opuestos de una frontera. Un 10.0 es una afirmación de que cruzar esa frontera es la razón de ser del fallo. El 9.8 de NVD hace la misma afirmación sobre el impacto, con confidencialidad, integridad y disponibilidad todas Altas, sin aseverar el cruce de la frontera. Ambas puntuaciones son Críticas. El archivo no trata la brecha como una disputa sobre si el fallo existió o fue corregido, y el lector tampoco debería.

Un tercer evaluador fue más allá en las consecuencias sin tocar la puntuación. CISA cuenta con un registro de decisión SSVC para el CVE, con fecha y hora del 18 de septiembre de 2026, que establece la explotación en "ninguna", la automatizabilidad en "sí" y el impacto técnico en "total". El valor intermedio es el que merece detenerse a considerar: una vulnerabilidad no autenticada, de baja complejidad y que cambia el alcance es, por construcción, automatizable — nada en ella requiere que una persona la adapte a cada objetivo.

La corrección que ningún cliente pudo instalar

Azure AI Foundry es un servicio hospedado, por lo que CVE-2026-85889 nunca tuvo un parche con el nombre de un cliente. El aviso de MSRC no incluye ningún artículo de actualización ni una solución alternativa, y responde a la pregunta obvia en sus propias preguntas frecuentes: "Esta vulnerabilidad ya ha sido totalmente mitigada por Microsoft. No hay ninguna acción que los usuarios de este servicio deban tomar. El propósito de este CVE es proporcionar mayor transparencia".

La nota de Cloud Security Alliance describe la misma disposición: la remediación se aplicó a la infraestructura de Microsoft y «los clientes no tenían ningún parche que instalar ni ninguna acción que tomar». The Hacker News informa de que Microsoft dijo que había mitigado por completo el problema en la nube y que no se requería ninguna acción por parte del cliente. El propio registro de Microsoft marca «se requiere acción del cliente» como falso. En cuanto a la cronología, MSRC fecha su aviso el 17 de septiembre de 2026; la nota de CSA sitúa el aviso y la remediación completada entre el 17 y el 18 de septiembre de 2026.

Este es el punto al que la nota de CSA vuelve una y otra vez, y no es una crítica a la ingeniería de Microsoft. Una corrección del lado del servidor es rápida, completa y gratuita para el cliente. Tampoco es observable desde el lado del cliente.

Lo que Microsoft no dijo

Según la Cloud Security Alliance, el aviso no indica cuándo se introdujo la vulnerabilidad, y la nota no cuantifica la ventana de exposición. Tampoco Microsoft revela cómo se podía alcanzar la función vulnerable, qué tipo de credencial estaba implicada, si se necesitaban identificadores específicos del inquilino para explotarla o si era posible el acceso entre inquilinos. No son lagunas en la información reportada; son preguntas que, según la nota de la CSA, Microsoft dejó explícitamente sin responder, y la nota señala la cuestión del acceso entre inquilinos como relevante para la evaluación de riesgos de cualquier cliente.

La consecuencia que extrae la nota es limitada y merece enunciarse sin adornos: si la explotación ocurre enteramente del lado del servidor, puede que no sea visible en absoluto desde el lado del cliente. Un administrador de inquilino podría no haber tenido ni una línea de registro que consultar aunque sus proyectos hubieran sido sondeados. La respuesta recomendada por la CSA es retrospectiva: examinar los registros de actividad de Azure y las pistas de auditoría de AI Foundry de las semanas anteriores al 17–18 de septiembre de 2026 en busca de acciones administrativas inusuales, cambios en la configuración de modelos o agentes y accesos anómalos a cuentas de servicio, y preguntar directamente a Microsoft si el acceso entre inquilinos era técnicamente posible.

El propio aviso no nombra ni al informante ni la fecha en que se notificó la falla, y el registro del NVD tampoco, por lo que nada en este registro permite establecer el intervalo entre el informe de Marot y la corrección.

La ola a su alrededor

CVE-2026-85889 no fue una corrección aislada. La guía de actualizaciones de seguridad de Microsoft enumera 18 vulnerabilidades publicadas el 17 de septiembre de 2026, y la forma del grupo es el dato más revelador. Las 18 son críticas. Todas son un servicio en la nube. Todas están registradas como no explotadas y como sin necesidad de acción del cliente. Siete de las 18 tienen una puntuación de 10,0: Azure Billing, Microsoft Fabric, Azure AI Foundry, dos en Azure Logic Apps, Azure Arc y Microsoft Container Registry.

El contraste dentro de la oleada importa para leer el titular. CVE-2026-85885, la inyección de comandos en Microsoft 365 Copilot con 9,9, está puntuada como PR:L —privilegios requeridos— y la descripción de Microsoft dice «un atacante autorizado». CVE-2026-85889 es PR:N y dice «un atacante no autorizado». Dos fallos en la misma versión, dos puntuaciones Critical, y solo uno de ellos exigía que el atacante contara con una credencial antes de empezar. El tercer hallazgo de IA del grupo, CVE-2026-85917, es una falsificación de petición del lado del servidor en Azure AI Foundry con 7,5, puntuada con el alcance sin cambios y el impacto limitado a la confidencialidad.

Qué cambió y qué puede seguir conservando un cliente

Lo que cambió es el fallo: Microsoft informa que está completamente mitigado y ningún cliente tiene nada que implementar. Lo que no cambió es el registro que un cliente puede conservar. Las recomendaciones de la CSA van de lo inmediato a lo estructural: confirme que la remediación de septiembre de 2026 llegó al inquilino; conserve y revise los registros de actividad y las pistas de auditoría de AI Foundry de las semanas anteriores; segmente los proyectos de AI Foundry por inquilino y carga de trabajo; aplique el privilegio mínimo a usuarios, entidades de servicio e identidades administradas; limite los datos y las credenciales a los que puede acceder cualquier proyecto individual; y centralice las alertas de AI Foundry y Microsoft Defender for Cloud.

Su recomendación estructural es la que va más allá de este CVE: tratar los planos de gestión de la IA en la nube como una categoría de riesgo de terceros diferenciada, incluir el historial de divulgación de vulnerabilidades de los proveedores en las evaluaciones de proveedores y exigir plazos contractuales de notificación y transparencia posterior al incidente para las fallas del plano de control. Nada de eso hizo falta para sobrevivir al CVE-2026-85889. Es lo que haría visible el próximo.

Cómo clasifica el archivo este elemento

El registro se clasifica como una vulnerabilidad: una que se encontró, no una que se sepa que haya sido explotada. Su nivel de confianza es A, lo que significa que está bien documentado y que las fuentes primarias coinciden, y el registro no está marcado como disputado. Su campo de daño real es falso, y su implicación de IA está confirmada: el producto afectado es una plataforma de aplicaciones y agentes de IA generativa, no un servicio en la nube de uso general que casualmente esté cerca de una. Su fecha está registrada con precisión de día, el 17 de septiembre de 2026, sin fecha de finalización, porque se trata de un único momento temporal y no de una campaña.

Lo único que los propios campos del archivo no pueden transmitir es cuánto de la historia es una ausencia. Hay un fallo de autenticación de máxima gravedad en una plataforma que los clientes empresariales utilizan para crear y ejecutar agentes. Hay una corrección. Hay el nombre de un investigador. Lo que no hay —en ningún lugar del aviso, el registro de la NVD, la nota de la CSA ni la prensa especializada— es una declaración de que alguien haya probado el fallo, una declaración de cuánto tiempo estuvo accesible o una forma de que un cliente lo compruebe por sí mismo.