Una actualización de seguridad crítica aborda una vulnerabilidad de elevación de privilegios de gravedad alta en Windows Admin Center (WAC), identificada como CVE-2026-26119. La falla, calificada con un CVSS 8.8 (Crítica), se origina por una autenticación incorrecta (CWE-287) que podría permitir a un atacante autorizado obtener privilegios elevados en la red. Según Microsoft, esta vulnerabilidad afecta a Windows Admin Center versión 2.6.4, y fue revelada públicamente el 17 de febrero de 2026. 

Una actualización crítica de seguridad aborda una vulnerabilidad de elevación de privilegios de alta gravedad en Windows Admin Center (WAC), identificada como CVE-2026-26119.

La falla, calificada con un CVSS 8.8 (Crítica), proviene de una autenticación incorrecta (CWE-287) que podría permitir a un atacante autorizado obtener privilegios elevados en la red.

Según Microsoft, esta vulnerabilidad afecta a Windows Admin Center versión 2.6.4, y fue revelada públicamente el 17 de febrero de 2026.

El problema permite a los atacantes que ya tienen privilegios limitados en el sistema escalar su acceso sin necesidad de interacción adicional del usuario.

Aunque Microsoft no ha observado explotación activa en entornos reales, advierte que la explotación es “más probable”, citando la baja complejidad del ataque y la exposición en red de las implementaciones de WAC.

Si se explota con éxito, el atacante podría obtener los mismos privilegios que el usuario que ejecuta la aplicación afectada.

Dado que Windows Admin Center se utiliza a menudo para la administración centralizada de sistemas, dicha escalada de privilegios podría permitir el control total de los servidores gestionados, la modificación de configuraciones del sistema y el acceso a datos sensibles.

Microsoft agradece a Andrea Pierini de Semperis por reportar responsablemente la vulnerabilidad.

La compañía ha lanzado una solución oficial a través de la última actualización de seguridad de Windows Admin Center y recomienda encarecidamente a los administradores aplicar el parche de inmediato.

Puedes encontrar la actualización y las notas de la versión en los canales oficiales de Microsoft (Notas de la versión, Actualización de seguridad).

Aunque no ha aparecido código de prueba de concepto (PoC), el índice de explotabilidad indica una mayor probabilidad de desarrollo de exploits en el corto plazo.

Dada la exposición de WAC en entornos empresariales, retrasar la aplicación del parche podría dejar las redes vulnerables a movimientos laterales y ataques de abuso de privilegios.

Se insta a los administradores a seguir la guía de actualización de seguridad de Microsoft, revisar los permisos de las cuentas y monitorear los registros de eventos en busca de escaladas de privilegios inusuales.

Puedes encontrar más detalles sobre el CVE oficial en CVE.org y en la Guía de Actualizaciones de Seguridad de Microsoft.