Microsoft corrigió en su Patch Tuesday de septiembre de 2026 una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) en Azure HDInsights, catalogada como CVE-2026-81349. El fallo permite que un atacante ya autorizado dentro del entorno escale privilegios a través de la red, con una severidad CVSS de 7.2.
El CSIRT Nacional de Chile emitió una alerta de vulnerabilidad crítica por este CVE, señalándolo como relevante para infraestructura chilena. La probabilidad de explotación real en los próximos 30 días es baja según EPSS (0.7%, percentil 52%), pero al tratarse de un servicio en la nube la exposición depende de la configuración de cada clúster.
| CVE | CVE-2026-81349 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.2 / 10 |
| EPSS | 0.7% en 30 días (percentil 52) |
| CWE | CWE-78 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.