Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Política CSP delimita scripts en el inicio de sesión de Entra ID.

Síntesis y análisis propios a partir de la cobertura de BleepingComputer; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

BleepingComputer informa de que Microsoft comenzará a aplicar a mediados de octubre de 2026 una política de seguridad de contenido que bloquea la inyección de scripts externos en los inicios de sesión de Entra ID.

La política permitirá ejecutar durante la autenticación únicamente scripts alojados en dominios de distribución de contenido de confianza de Microsoft.

Microsoft aconseja dejar de usar extensiones y herramientas que inyecten scripts en las páginas de acceso y probar los flujos antes del cambio.

Los administradores podrán localizar incompatibilidades mediante las violaciones de CSP que muestra la consola de desarrollo del navegador.

La medida se activa por defecto, no requiere configuración del tenant y, según Microsoft, no impide iniciar sesión aunque deje de funcionar una herramienta de inyección no admitida.

Microsoft limita el cambio a los accesos desde navegador en login.microsoftonline.com; MSAL y los flujos de autenticación basados en API quedan fuera de su alcance.

Análisis de Defensops

El cambio reduce la posibilidad de que código ajeno se ejecute en una página donde se introducen credenciales. El efecto más inmediato para una organización depende de si ha añadido extensiones, ayudas de accesibilidad, automatizaciones u otras herramientas que modifican el flujo de acceso en el navegador. La fuente no describe una intrusión concreta causada por esta vía; se trata de un endurecimiento preventivo.

El alcance acotado evita trasladar el riesgo de incompatibilidad a todos los métodos de autenticación de Entra ID. Por eso conviene probar los recorridos web reales, incluidas las variantes usadas por distintas áreas y navegadores, y registrar qué herramienta concreta provoca una violación de CSP antes de retirarla o sustituirla. Que el usuario conserve la capacidad de iniciar sesión no garantiza que una función auxiliar siga operando.

Prioridades de revisión

Antes de mediados de octubre, inventariar extensiones y herramientas que inyectan scripts en login.microsoftonline.com y asignar un responsable a cada dependencia.

Ejecutar pruebas de los flujos de inicio de sesión desde los navegadores usados en la organización y registrar las violaciones de CSP de la consola junto con la extensión o herramienta implicada.

Retirar o adaptar las integraciones que dependan de inyección de código en la página de acceso y repetir la prueba de autenticación y de las funciones auxiliares.

Tras el despliegue, revisar incidencias de las funciones auxiliares en los flujos web afectados sin atribuir fallos de MSAL o API a esta política.

Qué no se ha confirmado

La publicación no ofrece un inventario de extensiones o productos concretos incompatibles.

La fecha exacta de aplicación puede variar dentro del despliegue que terminaría a finales de octubre de 2026.

No se describen ataques observados que esta medida haya detenido.

Fuente

BleepingComputer. Fecha indicada: 2026-09-30.