La semana de seguridad la marcó un informe de Microsoft: atacantes que escriben por Teams haciéndose pasar por soporte técnico terminan emitiendo certificados de administrador en Active Directory. No hubo una vulnerabilidad de Teams: entraron por la confianza del usuario y por certificados mal configurados.
En Azure, Application Gateway for Containers suma un gateway para servidores MCP, la pieza que conecta agentes de IA con herramientas internas, y Azure Front Door ya ofrece intercambio de claves TLS poscuántico. También hay dos retiros con fecha: Azure Fluid Relay y la parte de seguridad OT de Defender for IoT.
Para devs, .NET 11 sale oficialmente el 10 de noviembre en .NET Conf 2026. Y quien trabaje con el oeste de Canadá tiene reuniones corridas una hora en Outlook y Teams.
🔒 Seguridad y parches
Falso soporte por Teams que termina en certificados de administrador
Microsoft Threat Intelligence describió dos intrusiones que arrancaron igual: mensajes y llamadas por Teams de alguien que dice ser de la mesa de ayuda, y un usuario que acepta compartir la pantalla con Quick Assist, la herramienta de asistencia remota que viene con Windows.
Después fueron por Active Directory Certificate Services (AD CS), el servicio de Windows Server que emite los certificados digitales de la empresa. En el primer caso, una plantilla de certificado mal configurada (ESC1) le dio al atacante certificados para 11 cuentas privilegiadas. En el segundo, forzó a un controlador de dominio a autenticarse contra su equipo y reenvió esa autenticación NTLM al portal web de AD CS (ESC8) para obtener un certificado del propio controlador.
Un certificado así sigue sirviendo aunque se cambie la contraseña. Qué hacer: verificar por un canal interno cualquier pedido de soporte que nadie pidió, revisar las plantillas de certificado y quién puede pedirlas, exigir HTTPS con EPA (o apagar NTLM) en la inscripción web de AD CS siguiendo KB5005413, activar la auditoría de Certification Services y revocar los certificados emitidos a cuentas comprometidas.
Azure Front Door ya negocia TLS con criptografía poscuántica
Ya está disponible de forma general la política de intercambio de claves TLS en Front Door: se elige una política Standard o Enhanced, o una a medida, con grupos clásicos y grupos híbridos poscuánticos. El intercambio de claves es el paso de la conexión HTTPS en el que cliente y servidor acuerdan la clave que cifra todo lo demás.
Importa por el riesgo de «guardar hoy y descifrar mañana»: tráfico capturado ahora que una computadora cuántica podría abrir en el futuro. El modo híbrido exige TLS 1.3 y protege el tramo entre el cliente y Front Door, no el que va de Front Door al origen. Qué hacer: probar la política con los clientes más viejos antes de activarla en producción.
Backups inmutables de Azure SQL hasta 35 días
Los backups de restauración a un punto en el tiempo (PITR) de Azure SQL Database y Managed Instance ya eran inmutables por 7 días. En vista previa, ahora se pueden bloquear durante toda la retención configurada, hasta 35 días. Inmutable quiere decir que nadie puede borrarlos ni acortarlos, ni un ransomware ni un administrador con malas intenciones.
Ojo: una vez bloqueado, solo se puede extender la retención y el ajuste queda para toda la vida de la base. Conviene probarlo primero en una base que no sea de producción.
Defender for IoT deja la seguridad OT en octubre de 2029
Microsoft retira el componente de seguridad OT de Defender for IoT, el que monitorea las redes industriales de plantas y fábricas (OT es la tecnología operativa: PLCs, sensores, SCADA). Hasta octubre de 2029 recibe parches, pero no funciones nuevas; Enterprise IoT en Defender for Endpoint no cambia. Qué hacer: inventariar sensores y planificar el reemplazo.
☁️ Azure
Application Gateway for Containers: gateway MCP, validación JWT e ingreso privado
MCP (Model Context Protocol) es el estándar con el que los agentes de IA usan herramientas y datos internos. Con el nuevo recurso MCPRoute, el ingress administrado de AKS publica uno o varios servidores MCP detrás de una sola dirección, con TLS, WAF y controles de salud centralizados; si agrupa varios, une sus listas de herramientas y les cambia el nombre para que no choquen.
Llegaron junto con la validación de tokens JWT en el gateway (las peticiones sin un token válido se rechazan antes de llegar al servicio) y frontends privados por Private Link, sin IP pública. Las tres están en vista previa.
Azure Site Recovery protege las VMs de Azure Local
Ya está disponible de forma general: las VMs Windows y Linux que corren en Azure Local (la plataforma on-premises que antes se llamaba Azure Stack HCI) se replican a Azure desde el portal, con pruebas de failover sin cortar la replicación y vuelta al sitio propio después.
Azure Fluid Relay se retira el 2 de junio de 2027
Fluid Relay es el servicio administrado detrás de la edición colaborativa en tiempo real de Fluid Framework. Se puede usar hasta el 1 de junio de 2027; el reemplazo es un servicio Fluid autoalojado, que el equipo tiene que operar y pagar por su cuenta. Qué hacer: encontrar las apps que dependen de él y presupuestar la migración.
🪟 Windows y Microsoft 365
Los nuevos husos horarios de Canadá corren reuniones una hora
Desde el 1 de noviembre, zonas de Columbia Británica, Alberta y Manitoba (y con ellas los Territorios del Noroeste y el noroeste de Ontario) dejaron de atrasar el reloj. Microsoft confirma el impacto en Outlook y Exchange Online, Teams Rooms, Auto Attendant y Events, SharePoint on-premises, Power Automate, Azure Automation, Fabric, Power Pages y Dynamics 365 Finance and Operations.
Las reuniones ya creadas no se mueven solas: las posteriores al 1 de noviembre pueden estar una hora corridas y solo el organizador las corrige. Qué hacer: instalar las últimas actualizaciones de Windows, elegir el huso nuevo a mano en Outlook y usar las zonas temporales que propone Microsoft en Power Automate, Fabric y Teams Events.
🧑💻 Para devs: GitHub, VS Code, .NET
.NET Conf 2026: .NET 11 sale el 10 de noviembre
La conferencia virtual y gratuita va del 10 al 13 de noviembre y es el lanzamiento oficial de .NET 11. El keynote de apertura con Scott Hanselman es el 10 a las 8 de la mañana de Pacífico (13 en Argentina) y el de Visual Studio con Mads Kristensen, el 11. El 12 y el 13 son los días de la comunidad. Los equipos en .NET 10 ya pueden planificar la migración con la versión final.
Skills para agentes dentro de los paquetes NuGet
Una skill es un archivo SKILL.md con instrucciones para que un agente de código use bien una librería. El equipo de .NET mostró cómo distribuirlas dentro del paquete, en skills/<nombre>/: dotnet restore las baja con todo lo demás, dotnet-inspect las lista y dotnet-package-skills las copia al repo. Todavía es un trabajo en curso. El mismo equipo avisa que un agente que lee instrucciones de un paquete abre un riesgo nuevo de cadena de suministro: solo paquetes de confianza.
🧩 Más novedades de la semana
- Smart App Control se puede volver a encender: después de
KB5127648quedaba bloqueado en apagado, y lo corrigen las actualizaciones del 28 de octubre en adelante (KB5127936). - Microsoft dice que Windows 11 26H2 responde hasta 20% más rápido en PCs de 8 GB (build 26300.9818 o posterior): conviene medirlo en equipos propios.
- Azure Migrate descubre y evalúa recursos compartidos de NAS de Dell PowerScale y NetApp ONTAP (vista previa).
- Azure Database for PostgreSQL pasa de integración de VNet a private endpoint sin recrear el servidor.
- Service Bus Premium suma geo-replicación en namespaces particionados: ya no hay que elegir entre rendimiento y recuperación ante desastres.
- Azure Firewall aplica reglas de aplicación sobre IPv6 (vista previa), un hueco que tenían las redes dual-stack.
- WAF Insights llega a Application Gateway: tableros para ver bloqueos y falsos positivos sin escribir KQL.
- GitHub reconoce el archivo
ACCESSIBILITY.mdy lo muestra en la portada del repo, comoSECURITY.md.
¿Quién puede pedir un certificado en su AD CS?
El caso del falso soporte no necesitó ninguna vulnerabilidad: alcanzó con una plantilla que deja pedir certificados a nombre de otro. Y el 10 de noviembre llega el Patch Tuesday.
¿Ya auditaron sus plantillas de certificado? Los leemos en los comentarios.
Fuentes
- Microsoft Security Blog: Help desk impersonation and AD CS abuse (ESC1, ESC8).
- Microsoft Support: KB5005413, mitigating NTLM relay attacks on AD CS.
- Azure Updates: Azure Front Door TLS key exchange policy with post-quantum support.
- Azure Updates: immutability for PITR backups in Azure SQL.
- Azure Updates: retirement of OT security in Microsoft Defender for IoT.
- Azure Updates: MCP gateway for Application Gateway for Containers.
- Azure Updates: Azure Site Recovery for Azure Local.
- Azure Updates: retirement of Azure Fluid Relay.
- Microsoft Support: Canada 2026 time zone changes.
- Microsoft Support: KB5127648.
- Windows Experience Blog: Raising the bar for 8 GB Windows 11 PCs.
- .NET Blog: Get ready for .NET Conf 2026.
- .NET Blog: Delivering skills in NuGet packages.
