Fallo crítico: la vulnerabilidad de Entra ID permite la vulneración de inquilinos globales

Una vulnerabilidad crítica en Microsoft Entra ID permite a los atacantes comprometer prácticamente cualquier inquilino a nivel mundial (excluyendo las implementaciones de nube nacional). Los tokens "Actor" no documentados y un fallo en la API de Azure AD Graph permiten el acceso total. Los atacantes pueden usar fuerza bruta o aprovechar las relaciones de confianza B2B para obtener el netId de un usuario, hacerse pasar por administradores y obtener control total, acceder a datos confidenciales y modificar la configuración. No se necesitan requisitos previos. Microsoft corrigió la vulnerabilidad (CVE-2025-55241), lo que destaca los riesgos inherentes al diseño del token Actor.