La semana arrancó con un parche urgente: Microsoft publicó actualizaciones fuera de ciclo de .NET por una falla crítica en Brotli, y el 27 de octubre CISA la sumó a su lista de vulnerabilidades que ya se están explotando.
En identidad, Microsoft recordó que el SMS y la llamada de voz dejan de servir como segundo factor en Entra ID desde el 1 de febrero de 2027, y tres campañas mostraron cómo se roban sesiones de Microsoft 365 sin tocar la contraseña.
En Azure, Azure Deployment Environments se retira el 22 de febrero de 2027 sin un reemplazo directo. Para devs, GitHub Universe cambió la forma de pagar Copilot en GitHub Enterprise.
🔒 Seguridad y parches
.NET: parche urgente por la falla de Brotli, ya en el KEV
Brotli es un formato de compresión que usan navegadores y servidores para achicar el tráfico HTTP. La falla CVE-2026-111497 está en el decodificador: con datos comprimidos armados a propósito, un atacante puede escribir fuera de la memoria asignada, tirar el proceso o leer memoria, y en algunos casos ejecutar código.
Microsoft publicó el 25 de octubre .NET 10.0.14, 9.0.22 y 8.0.33 (y .NET 11 RC3). MSRC la califica crítica, con CVSS 8.1, y CISA la agregó el 27 de octubre a su catálogo KEV, la lista de vulnerabilidades con explotación confirmada.
Quedan expuestas las apps que decodifican Brotli (la descompresión de requests de ASP.NET Core, la de HttpClient o las APIs de System.IO.Compression). Qué hacer: reconstruir apps, SDKs e imágenes de contenedor sobre las versiones nuevas y, mientras tanto, dejar de decodificar cuerpos Brotli en el proxy.
Microsoft Authenticator en Android entregaba tokens de la cuenta de trabajo
Un token es la credencial que una app usa después del login: con él no hace falta contraseña ni MFA. Por CVE-2026-80097 (CVSS 8.6, importante para Microsoft), una app sin permisos instalada en el mismo teléfono podía hacerse pasar por Teams y recibir los tokens de Microsoft Graph de la cuenta de trabajo: correo, archivos y calendario.
No figura como explotada. Está corregida desde la versión 6.2606.4246: conviene exigirla como versión mínima con Intune.
Tres campañas contra Microsoft 365 que esquivan el MFA
- Robo de sesiones: Huntress documentó a un actor que reutilizó tokens robados después del MFA contra 97 casillas de 79 organizaciones, registró dispositivos falsos en Entra ID y reemplazó métodos de MFA. Cambiar la contraseña no alcanza: hay que revocar sesiones y auditar dispositivos y métodos de MFA.
- Phishing con código de dispositivo: en la campaña Skyw4lker, la víctima escribe un código en la página real de Microsoft, completa ella misma el MFA y el atacante se queda con la sesión. La defensa es bloquear el flujo de «device code» con Acceso condicional para quien no lo usa.
- Falso soporte por Teams: Arctic Wolf vio cientos de casos en los que alguien escribe por chat externo de Teams como «Help Desk», logra que el usuario abra Quick Assist o AnyDesk y termina en ransomware. Conviene limitar el chat externo a dominios aprobados.
🪟 Windows y Microsoft 365
Entra ID: el SMS y la voz dejan de servir para MFA desde febrero
Microsoft recordó (MC1528000) que desde el 1 de febrero de 2027 los SMS y las llamadas que manda Microsoft dejan de completar el MFA en los tenants de Entra ID de empleados (no aplica a Azure AD B2C ni a Entra External ID). A quienes los usan se les va a pedir que registren una passkey, una credencial atada al dispositivo que no se puede tipear en una página falsa.
Qué hacer: correr el SMS/Voice Policy Scanner para encontrar a los usuarios afectados y moverlos a passkeys, QR o llaves FIDO2 antes de febrero.
Windows Server 2016 recibe su último parche en enero
El soporte termina el 12 de enero de 2027, y la actualización de ese mes es la última para todas las ediciones. Quedan menos de tres meses para migrar (Microsoft apunta a Windows Server 2025) o comprar Extended Security Updates.
Escritorio remoto vuelve a andar con Administrator protection
Desde la preview de septiembre, los Windows 11 24H2 o posteriores con Administrator protection rechazaban las conexiones de Escritorio remoto de usuarios estándar (error 0xC000000D). Lo corrigen las actualizaciones del 28 de octubre, empezando por KB5127936.
Teams va a avisar del phishing en chats externos
Desde noviembre, Teams va a analizar el contexto de las conversaciones para marcar phishing y suplantación, incluso en mensajes sin links ni archivos, con foco en el primer chat de alguien externo. No requiere configuración: conviene avisarle a la mesa de ayuda que van a aparecer estas alertas.
☁️ Azure
Azure Deployment Environments se retira el 22 de febrero de 2027
Deployment Environments (ADE) es el servicio que le deja a un dev crear un entorno de Azure desde un catálogo de plantillas, sin pedírselo a infraestructura. Microsoft confirmó que se retira el 22 de febrero de 2027 sin un reemplazo único: desde esa fecha se bloquean las creaciones y los despliegues, y queda un período acotado para leer y borrar.
En su lugar propone infraestructura como código, es decir, la infraestructura definida en archivos versionados (plantillas ARM o Bicep), los Azure Verified Modules y pipelines de Azure DevOps o GitHub. Microsoft Dev Box sigue hasta el 18 de septiembre de 2028, así que no hay que borrar los dev centers compartidos sin revisar que Dev Box no los use.
Front Door: WAF por ruta y protección DDoS que aprende
Un WAF (firewall de aplicaciones web) filtra pedidos HTTP maliciosos antes de que lleguen a la app. En Front Door Premium ya se puede asociar una política WAF a todo el perfil o a una ruta puntual (login, checkout, APIs).
Además llegó a disponibilidad general el conjunto de reglas de DDoS HTTP, que aprende el tráfico normal de cada perfil y frena solo a los clientes que se disparan.
🧑💻 Para devs: GitHub, VS Code, .NET
GitHub Enterprise: Copilot sin licencia aparte
En GitHub Universe se anunció que las organizaciones con GitHub Enterprise pueden usar Copilot sin comprar una licencia por persona, pagando los créditos de IA que consumen. GitHub no publicó las tarifas, así que conviene definir presupuesto y políticas de uso antes de habilitarlo.
Un firewall para npm en GitHub Enterprise Cloud
El package firewall, en vista previa pública desde el 20 de octubre, se pone entre las máquinas (de devs, de CI o de agentes de IA) y el registro público de npm. Bloquea en la instalación los paquetes con malware conocido, vulnerabilidades críticas, scripts de instalación nuevos o versiones publicadas hace menos de un día, que es justo por donde entraron los ataques a npm de este año.
🧩 Más novedades de la semana
- Windows deja de confiar en siete certificados de eMudhra con
KB5134133,KB5134125yKB5134137: los equipos aislados la necesitan a mano (detalle en esta nota del MUG). - Gheist usa tokens de GitHub robados para volcar secretos por los logs de Actions en ramas
ci-sync-: si aparecen, hay que rotar todos los secretos del repo. - Azure Backup restaura VMs en otro tenant (vista previa), un camino para recuperarse si toman el tenant de producción.
- El destino Log Analytics de Container Apps pasa a legacy: mudarse a Azure Monitor cambia las tablas de logs y obliga a reescribir alertas.
- Azure MCP Server 3.0 ya está disponible, con cambios incompatibles para las integraciones de agentes existentes.
- La reinstalación de Windows 11 desde la nube suma borrado seguro del disco con
KB5127936. - Los costos de Claude en Microsoft Foundry entran en Azure Cost Management, con etiquetas por modelo y por tipo de uso.
- GPT-6.1 Terra ya está en GitHub Copilot para los planes Pro, Pro+, Max, Business y Enterprise.
- Octoverse 2026: 34.300 millones de commits, y en septiembre más del 40% de los pull requests arrancó con un borrador de un agente.
- Blazor suma componentes gratis con licencia MIT: los de Infragistics y los de Syncfusion.
- GitHub sumó tres rangos de IP para los webhooks: quien tenga una lista fija de IPs permitidas tiene que agregarlos.
- BlackX, un bootkit UEFI, saltea Secure Boot en equipos parcheados que nunca aplicaron las revocaciones de KB5025885.
- Azure facturó unos US$33.200 millones en el trimestre (+48%), la primera vez que Microsoft da la cifra en dólares.
¿Cuántos usuarios de su tenant siguen con MFA por SMS?
Febrero está más cerca de lo que parece, y pasar a passkeys necesita tiempo de la mesa de ayuda.
¿Ya empezaron? Te leemos en los comentarios.
Fuentes
- .NET Blog: .NET October 2026 out-of-band security updates.
- MSRC: CVE-2026-111497.
- CISA: two known exploited vulnerabilities added to the catalog.
- MSRC: CVE-2026-80097.
- Huntress: token replay spray.
- Arctic Wolf: Teams external chat abused for initial access.
- MSRC Blog: response to compromised eMudhra CA keys.
- Wiz Research: Gheist.
- BleepingComputer: Microsoft reminds Entra ID admins to migrate users to passkeys.
- Microsoft Learn: Azure Deployment Environments retirement guide.
- Azure Updates: HTTP DDoS ruleset for Front Door WAF.
- GitHub Blog: Universe 2026.
- GitHub Changelog: package firewall in public preview.
