Una vulnerabilidad crítica de escalada de privilegios local (LPE) que afecta a Microsoft Windows ha salido a la luz recientemente tras la publicación pública de un exploit de prueba de concepto (PoC).

Registrada como CVE-2026-20817, esta falla de seguridad reside en el servicio de Windows Error Reporting (WER).

La vulnerabilidad permite a un usuario autenticado con privilegios de bajo nivel ejecutar código malicioso arbitrario con privilegios completos de SYSTEM.

La investigación detallada y el exploit PoC en C++ fueron publicados en GitHub por la investigadora de seguridad @oxfemale (también conocida como @bytecodevm en X/Twitter).

La publicación destaca una brecha de seguridad significativa en los mecanismos de informe de errores de Windows para la comunicación entre procesos.

El núcleo de esta vulnerabilidad involucra el protocolo Advanced Local Procedure Call (ALPC).

El servicio WER expone un puerto ALPC específico llamado \WindowsErrorReportingService para facilitar la comunicación con otros procesos.

Según los hallazgos de la investigadora, la falla existe específicamente en el método SvcElevatedLaunch, identificado como método 0x0D. El servicio WER no valida correctamente los permisos del usuario que realiza la llamada.

Como resultado, un atacante puede forzar al servicio a lanzar WerFault.exe usando parámetros de línea de comandos personalizados desde un bloque de memoria compartida.

Pasos para la ejecución del exploit

Para activar con éxito el exploit, un atacante sigue una secuencia sencilla de acciones:

Dado que el servicio WER se ejecuta con un nivel de privilegios alto, el nuevo proceso hereda el token SYSTEM.

Este token incluye permisos peligrosos, como SeDebugPrivilege (que permite depurar cualquier proceso) y SeImpersonatePrivilege (que permite suplantar a cualquier usuario).

Aunque no otorga SeTcbPrivilege para actuar como parte del sistema operativo en sí, los privilegios obtenidos aún proporcionan acceso completo al sistema.

La vulnerabilidad afecta a una amplia gama de sistemas operativos, incluyendo todas las versiones de Windows 10 y Windows 11 anteriores a enero de 2026, así como entornos empresariales con Windows Server 2019 y Windows Server 2022.

Microsoft solucionó oficialmente esta vulnerabilidad en la actualización de seguridad de enero de 2026.

Según el PoC publicado en GitHub, se recomienda encarecidamente a organizaciones y administradores de sistemas que apliquen los últimos parches de seguridad de inmediato para proteger sus redes.

Los equipos de seguridad también deben monitorear sus entornos en busca de procesos hijos inusuales de WerFault.exe y comportamientos irregulares del token SYSTEM para detectar posibles intentos de explotación.