Microsoft cierra un fallo 10.0 en Azure AI Foundry y otro en Copilot

Microsoft ha publicado correcciones para una vulnerabilidad de gravedad máxima en Azure AI Foundry, la plataforma con la que muchas organizaciones construyen y despliegan agentes de inteligencia artificial. El fallo, identificado como CVE-2026-85889, tiene una puntuación CVSS de 10.0: falta autenticación en una función crítica, y un atacante no autenticado podría elevar privilegios a través de la red. En el mismo lote aparecen una inyección de comandos en Microsoft 365 Copilot (CVE-2026-85885, 9.9) y problemas de autorización en Azure Database for PostgreSQL y Azure Cosmos DB.

La compañía indica que, al tratarse de servicios en la nube, los parches ya están aplicados del lado de Microsoft y que el cliente no tiene que hacer nada. No hay evidencia pública de explotación. El investigador Rémy Marot reportó el fallo de Foundry. En paralelo, SecurityWeek cifra en dieciocho las vulnerabilidades de productos de inteligencia artificial y nube cerradas en estos días, la mayoría de escalada de privilegios.

Eso es el comunicado. El trabajo del responsable TIC empieza después.

Azure AI Foundry no es un experimento de laboratorio. Es el sitio donde se montan aplicaciones generativas y agentes con acceso a datos internos. Un fallo de autenticación ausente en esa capa no es un detalle de parche: es la puerta de quien gobierna esos agentes. Que Microsoft lo haya cerrado en su lado es una buena noticia operativa. No equivale a que el centro o la institución sepa qué agentes tiene, con qué identidades corren ni a qué carpetas, correos o bases llegan.

Copilot es el caso más cercano al día a día. Una inyección de comandos con usuario autorizado —no hace falta ser un extraño en la red— significa que alguien con una cuenta válida puede empujar al asistente más allá de lo que el responsable de sistemas creía haber acotado. En un colegio, una universidad o unos servicios centrales, usuario autorizado es una categoría ancha: profesorado, administración, a veces alumnado con licencia. El perímetro no es el cortafuegos. Es el conjunto de personas a las que se les ha dado un copiloto.

Qué hay que preguntar el lunes

Tres comprobaciones bastan para no quedarse en el titular.

• Inventario: ¿usamos Azure AI Foundry, Copilot, Cosmos DB o PostgreSQL en Azure? Si la respuesta es que lo lleva un proveedor, esa respuesta no sirve. Hay que nombrar el contrato y el entorno.
• Identidad: ¿qué cuenta ejecuta los agentes y qué puede leer? Un agente con permiso amplio en SharePoint porque así funcionaba la demostración es un incidente aplazado.
• Registro: ¿quién revisa las acciones del copiloto? Si nadie puede decir qué preguntó el modelo la semana pasada, no hay gobierno. Hay fe.

Microsoft dice que no hace falta actuar. Es cierto para el parche del servicio. No es cierto para la política de uso. Un servicio parcheado sigue siendo un servicio con datos de menores, de nóminas o de evaluación si alguien lo conectó sin un criterio escrito.

Este aviso llega días después del Patch Tuesday de septiembre, el más voluminoso que ha publicado Microsoft, con dos zero-days de Windows ya explotados. El mensaje para un equipo directivo no es que haya que asustarse de la inteligencia artificial. Es más seco: la IA que ya está en marcha es software, y el software se parchea, se inventaría y se acota. Quien no sepa si Foundry o Copilot están en su mapa no puede afirmar que el centro está al día.

La fuente periodística es The Hacker News, del 18 de septiembre de 2026, con el aviso de Microsoft como origen técnico. Conviene leer el advisory y, si hay partner de Microsoft, pedirle por escrito qué suscripciones están afectadas y qué ha quedado cerrado sin intervención del cliente.