Un actor de amenazas está supuestamente vendiendo un exploit de día cero para una vulnerabilidad de escalada de privilegios en los Servicios de Escritorio Remoto de Windows, identificada como CVE-2026-21533, por la impactante suma de $220,000 en un foro de la dark web. Este exploit, con un precio tan elevado, aprovecha una gestión inadecuada de privilegios para otorgar a los atacantes control administrativo local.

La comunidad de ciberseguridad clandestina ha detectado una nueva publicación de alto riesgo en un foro de la dark web, donde un usuario registrado recientemente bajo el nombre de Kamirmassabi está subastando un exploit para la CVE-2026-21533.

El actor de amenazas, que creó su cuenta el 3 de marzo de 2026, publicó el anuncio en la sección «[Virología] – malware, exploits, paquetes, AZ, crypt».

El anuncio, detectado por Dark Web Informer, etiqueta explícitamente la vulnerabilidad como un «0day» y fija el precio de compra en $220,000, solicitando a los compradores interesados que se pongan en contacto mediante mensajes privados para recibir comentarios y realizar transacciones.

Aunque la CVE-2026-21533 fue publicada por Microsoft en febrero de 2026, la disponibilidad de un exploit funcional y armado representa un riesgo grave para los entornos empresariales.

El precio exorbitante sugiere que el exploit es altamente confiable y podría afectar a una amplia gama de sistemas sin parches en diferentes arquitecturas de Windows. La evidencia visual corrobora la solicitud activa de este exploit, destacando la rápida comercialización de vulnerabilidades críticas en el mercado clandestino de ciberdelincuentes.

La CVE-2026-21533 es una vulnerabilidad grave de Elevación de Privilegios (EoP), originada por una gestión inadecuada de privilegios en los Servicios de Escritorio Remoto de Windows.

El fallo ocurre porque el producto no asigna, modifica, rastrea o verifica correctamente los privilegios de un actor, creando así una esfera de control no intencionada. Si se explota con éxito, un atacante autorizado con derechos de usuario estándar podría elevar sus privilegios localmente en un sistema comprometido, obteniendo potencialmente control administrativo completo.

Esta vulnerabilidad afecta a una amplia variedad de sistemas operativos de Microsoft, incluyendo varias versiones de Windows 10, Windows 11 y ediciones de Windows Server desde 2012 hasta las últimas versiones de 2025.

Con una puntuación CVSSv3 de 7.8, la vulnerabilidad se clasifica como de alta gravedad, y su inclusión en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA subraya la necesidad inmediata de remediación.

Para mitigar esta amenaza, las organizaciones deben aplicar de inmediato los últimos parches de seguridad de Microsoft en todos los endpoints y servidores afectados. Los administradores también deben seguir las directrices aplicables de CISA BOD 22-01 para servicios en la nube o desactivar los Servicios de Escritorio Remoto si no se pueden aplicar mitigaciones de forma inmediata.

Los administradores deberían desactivar RDS si no es estrictamente necesario, restringir el acceso a redes confiables y desplegar soluciones de Detección y Respuesta en Endpoints (EDR) para monitorear cambios anómalos en el registro y intentos de escalada de privilegios.