Una vulnerabilidad de escalada de privilegios locales recientemente analizada en el servicio de Informe de Errores de Windows (WER) permite a los atacantes obtener fácilmente acceso completo como SYSTEM. La falla, registrada como CVE-2026-20817, fue considerada tan peligrosa en su estructura que Microsoft decidió eliminar por completo la función vulnerable en lugar de intentar un parche tradicional de código. 

Una vulnerabilidad de escalada de privilegios locales recientemente analizada en el servicio de Informes de Errores de Windows (WER) permite a los atacantes obtener fácilmente acceso completo como SYSTEM.

La falla, registrada como CVE-2026-20817, fue considerada tan peligrosa a nivel estructural que Microsoft decidió eliminar por completo la función vulnerable en lugar de intentar un parche tradicional de código.​

La vulnerabilidad de seguridad existe dentro de la biblioteca ejecutable principal del servicio de Informes de Errores de Windows, específicamente en el archivo WerSvc.dll.

Según los investigadores de vulnerabilidades Denis Faiustov y Ruslan Sayfiev de GMO Cybersecurity, el servicio sufre de un manejo inadecuado de permisos insuficientes al procesar ciertas solicitudes de clientes.

Esta debilidad arquitectónica proporciona una vía confiable para que un usuario local con bajos privilegios active una ejecución de comandos con privilegios elevados.

Históricamente, el servicio de Informes de Errores de Windows ha sido un objetivo frecuente para ataques de escalada de privilegios debido a sus complejos requisitos de comunicación entre procesos.

Para explotar esta falla específica, el atacante debe primero conectarse al puerto ALPC usando la API NtAlpcConnectPort y luego enviar su carga útil mediante la API NtAlpcSendWaitReceivePort.

La estructura de datos maliciosa debe contener exactamente el parámetro MessageFlags correcto y el relleno estructural adecuado para activar con éxito la lógica vulnerable del despachador.

El Mecanismo de Explotación

El núcleo de esta vulnerabilidad implica la manipulación de mensajes de Llamada a Procedimiento Local Avanzado (ALPC) enviados al punto final \WindowsErrorReportingServicePort.

Un atacante elabora un mensaje que contiene un objeto de Mapeo de Archivos, lo que lleva a la función interna ElevatedProcessStart a duplicar el manejador y leer los argumentos de línea de comandos maliciosos usando la API MapViewOfFile.

Finalmente, se llama a la función CreateElevatedProcessAsUser, que lanza inadvertidamente la aplicación legítima WerFault.exe con altos privilegios de SYSTEM y los parámetros controlados por el atacante.

Analistas de seguridad que realizaron comparaciones binarias entre las versiones 10.0.26100.7309 y 10.0.26100.7623 del archivo WerSvc.dll descubrieron que Microsoft adoptó un enfoque inusualmente agresivo para la remediación.

En lugar de añadir comprobaciones de permisos o rutinas de saneamiento de entrada, los desarrolladores introdujeron una prueba de funcionalidad strict __private_IsEnabled() que desactiva permanentemente la funcionalidad SvcElevatedLaunch.

Si se ejecuta el código parcheado, la función devuelve inmediatamente un código de error 0x80004005 (E_FAIL), neutralizando así toda la superficie de ataque al eliminar la función por completo.​

Arsenalización y Detección

Aunque la vulnerabilidad fuerza con éxito la ejecución de WerFault.exe como SYSTEM, los atacantes deben combinar opciones específicas de línea de comandos con trucos internos avanzados de Windows para lograr la ejecución arbitraria de código.

Durante el proceso de explotación, el servicio WER utiliza la suplantación del ID del proceso padre para hacer que el nuevo proceso elevado aparezca como un hijo directo del cliente del atacante con bajos privilegios.

Dado que esta técnica específica de suplantación de procesos es ampliamente abusada por el malware moderno, soluciones de seguridad como Microsoft Defender detectan activamente este comportamiento y generan alertas inmediatas.

Los profesionales de ciberseguridad deben mantenerse muy vigilantes al investigar esta amenaza específica de escalada de privilegios locales.

Han aparecido múltiples repositorios de prueba de concepto falsos y potencialmente maliciosos para CVE-2026-20817 en plataformas como GitHub.

Estos archivos de proyectos engañosos a menudo contienen cargas útiles de malware ocultas, lo que sirve como un recordatorio crítico para aislar y analizar estáticamente todas las herramientas de seguridad descargadas antes de su ejecución.