Una de las vulnerabilidades más peligrosas de Windows, causada por un sistema de cifrado presente en el sistema operativo pese a que ha permitido múltiples ciberataques masivos a lo largo de la historia, finalmente pasa a la historia.

Esto no sería especialmente sorprendente si no fuera porque, inexplicablemente, Microsoft ha tardado 25 años en solucionarlo, incluso después de considerarse tecnología obsoleta e incluso que un senador de Estados Unidos criticara a la compañía por ello.

En concreto, Microsoft ha anunciado que eliminará el soporte para el cifrado RC4. A partir de mediados de 2026, solo aceptará por defecto la alternativa más reciente y segura, AES, como ha informado la multinacional en un comunicado.

Qué es RC4

RC4, siglas de Rivist Cipher 4, es un algoritmo de cifrado de flujo compatible con el sistema operativo Windows. Lo creó Ron Rivest en 1987 y fue popular por su simplicidad y velocidad, usándose en protocolos como SSL/TLS y WEP.

RC4 es un cifrado rápido, pero que ahora se considera inseguro y obsoleto debido a vulnerabilidades, con fallos críticos (como ataques BEAST) que permiten a atacantes descifrar la información, especialmente con claves débiles o implementaciones incorrectas.

En el año 2000, Microsoft lanzó Active Directory, su servicio de directorio que autentica unidades y autoriza accesos. En este elemento de seguridad esencial, convirtió a RC4 en el único sistema de cifrado soportado por defecto hasta la actualidad.

Por qué lleva 25 años dando problemas

En el 1994 se advirtió por primera vez que el sistema de seguridad presentaba riesgos importantes, ya que se filtró su algoritmo y los expertos demostraron varias técnicas de ciberataques.

Dada la popularidad de RC4 en los sistemas de empresas de todo el mundo, esta brecha de seguridad ha dado lugar a varios ataques en los últimos años, como Kerberoasting, que puede usarse para robar credenciales y comprometer redes corporativas.

Uno de los ataques más conocidos afectó a Ascension, una empresa del sector salud de Estados Unidos, y afectó a 140 hospitales y expuso los datos sanitarios de 5,6 millones de pacientes, que acabaron en poder de los cibercriminales.

Tal fue el grado de peligrosidad que recientemente incluso un senador de Estados Unidos, Ron Wyden, pidió este año a las autoridades investigar a Microsoft por lo que consideraba una "grave negligencia de seguridad" por seguir usando RC4, lo que suponía un "riesgo nacional".

Microsoft, mejor tarde que nunca

Microsoft ya había eliminado activamente el soporte para RC4 en sus aplicaciones, navegadores web y otros componentes para proteger a los usuarios, desaconsejando su uso en nuevos softwares y sistemas.

No obstante, su presencia en Windows se mantenía, ya que el sistema lo soportaba por defecto debido a Active Directory, en el que RC4 ha seguido siendo el protocolo por defecto, pese a que ya había implementado una alternativa segura, como es AES-SHA1, que mitiga las principales vulnerabilidades.

Ahora, poniendo el parche final en una herida ya demasiado tiempo abierta, Microsoft ha asegurado que a mediados de 2026, actualizará los valores predeterminados del controlador de dominio para el Centro de distribución de claves Kerberos (KDC) en Windows Server 2008 y versiones posteriores para permitir únicamente el cifrado AES-SHA1.

RC4 se desactivará de forma predeterminada y solo se utilizará si un administrador de dominio configura explícitamente una cuenta o el KDC para utilizarlo.

Esto implica que por primera vez en 25 años, la autenticación segura en Windows por primera vez no requerirá RC4.