CVE-2026-109467 Fuente: CVE.org Publicada · sin explotación confirmada

Vulnerabilidad de ejecución remota de código (RCE) en Azure DevOps Server

Microsoft · Azure DevOps, Azure DevOps Server 2025 · Publicada en CVE.org el 10-11-2026 · Última actualización: 10-11-2026

9,9/10

CVSS · crítica

Gravedad crítica

Sin explotación confirmada ni señales fuertes: inclúyela en tu ciclo habitual de parches.

Por qué esta prioridad (Ciclo normal de parches)

Gravedad crítica (CVSS 9,9)
Sin explotación confirmada ni exploit público conocido

Regla de 8Layer inspirada en el árbol de decisión SSVC de CISA: usa la explotación confirmada (CISA KEV), la evaluación SSVC de CISA, la gravedad CVSS y la probabilidad EPSS de FIRST. No reemplaza tu propia evaluación: considera si el producto está expuesto a internet en tu organización.

Descripción

Una autenticación incorrecta en Azure DevOps permite que un atacante autorizado ejecute código a través de una red.

Qué hacer

Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.

Versiones afectadas

Azure DevOps Afectadas: 1.0.0 y anteriores a publication
Azure DevOps Server 2025 Afectadas: 1.0.0.0 y anteriores a Patch 9

Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.

Referencias

Aviso del fabricantemsrc.microsoft.com/update-guide/vulnerability/CVE-2026-109467

Ver el texto original en inglés (CVE.org)

Azure DevOps Server Remote Code Execution Vulnerability

Improper authentication in Azure DevOps allows an authorized attacker to execute code over a network.

DATOS CLAVE

Fabricante: Microsoft
Producto: Azure DevOps, Azure DevOps Server 2025
Publicada en CVE.org: 10-11-2026
Explotación confirmada (CISA KEV): No, por ahora
Gravedad (CVSS 3.1): 9,9 CríticaPuntaje del fabricante (CNA), publicado en CVE.org. CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L/E:U/RL:O/RC:C
Por qué la publicamos: CVSS 9,9 (fabricante) · fabricante vigilado (Microsoft)
Tipo de debilidad: CWE-287
Asignó el identificador: microsoft

FUENTES OFICIALES

CVE.org NVD (NIST)

¿Usas este producto?

Nuestro equipo revisa tu exposición y aplica las mitigaciones del fabricante.

Agendar diagnóstico

Fuente: registro de la vulnerabilidad en CVE.org (programa CVE, operado por MITRE con patrocinio de CISA), tal como lo publicó el fabricante o quien asignó el identificador. No está en el catálogo de vulnerabilidades explotadas de CISA. Traducción de 8Layer; ante cualquier diferencia, prima el texto original en inglés.

Gravedad (CVSS), evaluación SSVC de CISA y versiones afectadas: CVE.org, según los términos de uso del programa CVE. Probabilidad de explotación: EPSS de FIRST.

CVE® es una marca registrada de The MITRE Corporation. Registros CVE: Copyright © 1999–2026 The MITRE Corporation, reproducidos bajo esta licencia: «MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.»

Vulnerabilidad de ejecución remota de código (RCE) en Azure DevOps Server

Descripción

Qué hacer

Versiones afectadas

Referencias

Recibe el boletín cuando CISA agregue vulnerabilidades nuevas