Microsoft ha parcheado una vulnerabilidad de día cero en el servicio Windows Remote Access Connection Manager (RasMan), identificada como CVE-2026-21525, que permitía a los atacantes provocar condiciones de denegación de servicio (DoS) en sistemas sin parchear.

La falla, originada por una desreferencia de puntero NULL (CWE-476), fue explotada activamente en la naturaleza antes de su divulgación, lo que le valió una calificación de "Explotación Detectada" en el índice de explotabilidad MSRC de Microsoft.

RasMan, un componente central de Windows que gestiona conexiones de acceso remoto como VPNs y marcación telefónica, se bloquea al procesar datos malformados debido a una validación incorrecta de punteros NULL.

Un atacante local no autorizado solo necesita acceso local, sin privilegios elevados ni interacción del usuario, para enviar entradas manipuladas, lo que provoca que el servicio desreferencie un puntero NULL y se detenga.

Esto genera un alto impacto en la disponibilidad, ya que el servicio no siempre se reinicia automáticamente en algunos casos, interrumpiendo la conectividad remota para usuarios y servidores.

Los atacantes explotan RasMan activando una ruta de código vulnerable en rascustom.dll o módulos relacionados durante la negociación de la conexión. Un simple script local o binario puede inundar el servicio con paquetes inválidos, desreferenciando punteros no inicializados. Aunque el código de prueba de concepto no se ha hecho público (E:U), los investigadores de 0patch confirmaron su explotación en el mundo real.

El Patch Tuesday de febrero de 2026 (publicado el 10 de febrero) aborda el problema en:

• Windows 11 26H1 (x64/ARM64): KB5077179, compilación 10.0.28000.1575
• Windows Server 2012 R2 (Core/Full): KB5075970, compilación 6.3.9600.23022
• Windows Server 2012 (Core): KB5075971, compilación 6.2.9200.25923

Microsoft exige la aplicación inmediata del parche, disponible a través de Windows Update o el Catálogo de Microsoft Update. Verifica los ciclos de soporte para sistemas operativos más antiguos.

El equipo de investigación de vulnerabilidades 0patch, en colaboración con 0patch by ACROS Security (0patch.com), descubrió y reportó la falla mediante divulgación coordinada. Microsoft les otorga crédito en sus reconocimientos.

Las organizaciones deben priorizar los puntos finales expuestos a RasMan, habilitar actualizaciones automáticas y monitorear bloqueos inusuales del servicio. Aunque es un ataque local, las amenazas internas o puntos de entrada iniciales (como el phishing) aumentan el riesgo. No existen soluciones alternativas más allá de deshabilitar RasMan, lo que rompería el acceso remoto.