Microsoft publica fallos críticos en App Service para Linux y Azure SRE Agent
Los registros de Microsoft describen RCE sin autenticación en App Service para Linux y elevación de privilegios con acceso previo en Azure SRE Agent. Ambos corresponden a servicios alojados.
Microsoft ha publicado dos vulnerabilidades críticas que afectan a servicios alojados de Azure y tienen requisitos de ataque distintos. Los registros oficiales de CVE-2026-77900 y CVE-2026-69435 sitúan su divulgación en el 8 de octubre. Una corresponde a App Service para Linux; la otra, a Azure SRE Agent, y no conviene resumirlas como si fueran el mismo fallo.
Ambas fichas fueron aportadas por Microsoft al repositorio oficial del programa CVE. No describen un paquete de Windows Server que el cliente deba instalar ni ofrecen una build local corregida. Ese alcance cambia la gestión del aviso: hay que identificar el servicio utilizado y distinguir la responsabilidad sobre la plataforma de la que conserva el cliente sobre aplicaciones e identidades.
App Service: falta de autenticación
CVE-2026-77900 describe la ausencia de autenticación en una función crítica de Azure App Service para Linux. Microsoft indica que un atacante no autorizado puede ejecutar código a través de la red. La valoración CVSS 3.1 es 9,8, con un vector que no exige privilegios previos ni interacción del usuario.
La ficha no extiende el alcance a todas las máquinas virtuales Linux de Azure o a todas las modalidades de App Service. El producto identificado es App Service para Linux y debe respetarse esa delimitación. Tampoco permite afirmar que una aplicación concreta haya sufrido acceso indebido por el mero hecho de utilizar el servicio.
-InfraCrew dice: Antes de abrir veinte ventanas de parcheo, conviene leer el campo «producto». Un CVE de Azure no se convierte en un MSI por costumbre.-
SRE Agent: el acceso previo sí importa
En CVE-2026-69435, un atacante ya autorizado puede elevar privilegios a través de la red por una falta de autorización en Azure SRE Agent. La puntuación CVSS 3.1 es 9,6. A diferencia del caso de App Service, el vector incluye privilegios bajos como requisito, por lo que el acceso inicial no se puede omitir al explicar el riesgo.
Microsoft clasifica el tipo de debilidad como SSRF, dentro de un aviso titulado como elevación de privilegios. Eso no autoriza a reconstruir una cadena completa de explotación que el registro no publica. La información confirmada es el servicio, el requisito de acceso previo, la categoría de debilidad y el impacto indicado; los detalles técnicos no documentados deben quedar fuera.
La diferencia entre autenticación y autorización es especialmente útil aquí. Una identidad válida no implica permiso para cualquier operación. Como lectura editorial, este segundo aviso recuerda por qué revisar el acceso efectivo a una herramienta operativa es tan importante como comprobar quién consigue iniciar sesión en ella.
-InfraCrew dice: La tarjeta abre la puerta; el permiso decide hasta dónde puedes pasar. En el inventario de accesos conviene guardar las dos cosas.-
Un servicio alojado exige otra trazabilidad
Los dos registros llevan la etiqueta de servicio exclusivamente alojado y enlazan advisories de Microsoft marcados como corrección. No aportan una tabla de releases que el cliente pueda descargar e instalar. Por ello, no sería correcto inventar una build de remediación ni trasladar las instrucciones de un servidor autogestionado a estas plataformas.
El modelo de PaaS, en el caso de App Service, deja al proveedor la gestión de la infraestructura subyacente, mientras el cliente mantiene responsabilidades sobre su aplicación, datos y configuración. Esa distribución ayuda a interpretar el aviso. No demuestra por sí sola el estado de remediación de un tenant concreto; para ese detalle hay que seguir la comunicación aplicable del proveedor.
La información de CISA incorporada a ambos registros, fechada el 9 de octubre, señala que su valoración entonces no recogía explotación. Es una observación con fecha, no una promesa de ausencia de ataques futuros. La cifra de severidad tampoco prueba una intrusión: sirve para describir el riesgo del escenario técnico.
Para operaciones, la primera tarea razonable es vincular cada aviso con los servicios realmente utilizados, conservar sus referencias y comprobar las comunicaciones de Microsoft correspondientes. Las medidas sobre identidades y aplicaciones deben apoyarse en su contexto real. Ni dar todo por comprometido ni inventar un instalador aporta una respuesta útil.
-InfraCrew dice: La nube ahorra parte del parcheo del sistema. La columna «quién lo corrige y cómo lo acreditamos» sigue teniendo dueño.-
Diccionario de la Crew
SSRF — Server-Side Request Forgery: abuso de solicitudes realizadas por un servicio hacia otros recursos; el alcance concreto depende de la vulnerabilidad.
PaaS — Plataforma como servicio: modelo en el que el proveedor gestiona la plataforma subyacente y el cliente despliega y administra su aplicación.
Fuentes
Microsoft, registro oficial de CVE-2026-77900 | https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2026/77xxx/CVE-2026-77900.json
Microsoft, registro oficial de CVE-2026-69435 | https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2026/69xxx/CVE-2026-69435.json
