Se ha lanzado una actualización de seguridad de emergencia para abordar una vulnerabilidad recién revelada en .NET Framework, identificada como CVE-2026-26127.

Esta falla de seguridad permite a atacantes remotos no autenticados provocar una condición de Denegación de Servicio (DoS) en la red.

Con una puntuación CVSS de 7.5, Microsoft ha clasificado la vulnerabilidad como “Importante”. Afecta a múltiples versiones de .NET en Windows, macOS y Linux, lo que obliga a los administradores a aplicar urgentemente los parches oficiales.

La raíz de esta vulnerabilidad reside en una debilidad de lectura fuera de límites, categorizada bajo CWE-125.

En el desarrollo de software, una lectura fuera de límites ocurre cuando un programa lee datos más allá de los límites previstos del búfer, ya sea después del final o antes del inicio.

En el contexto del framework .NET, este manejo incorrecto de la memoria puede hacer que la aplicación se bloquee, denegando efectivamente el servicio a los usuarios legítimos.

Lo más preocupante es que puede ejecutarse de forma remota a través de una red sin requerir privilegios elevados ni interacción por parte del usuario objetivo.

Si un atacante envía con éxito una solicitud de red especialmente diseñada a una aplicación .NET vulnerable, puede desencadenar una lectura fuera de límites, provocando que el sistema se bloquee.

A pesar de la gravedad de la falla, la evaluación de explotabilidad de Microsoft actualmente la cataloga como “Poco probable”. Según las métricas de vulnerabilidad proporcionadas por Microsoft, el exploit requiere un bajo nivel de complejidad de ataque.

Sin embargo, los administradores deben mantenerse cautelosos. Un investigador anónimo ha revelado públicamente los detalles de la vulnerabilidad.

No hay evidencia actual de explotación activa en la naturaleza, ni de código de exploit maduro circulando en foros clandestinos.

La disponibilidad pública de los detalles de la vulnerabilidad aumenta el riesgo de que actores maliciosos intenten ingeniería inversa para crear un exploit funcional.

Software y sistemas afectados

La vulnerabilidad de Denegación de Servicio afecta tanto a las instalaciones principales de .NET como a paquetes de memoria específicos en múltiples sistemas operativos. El software afectado incluye:

.NET 9.0 instalado en Windows, macOS y Linux, .NET 10.0 instalado en Windows, macOS y Linux, Microsoft.Bcl.Memory 9.0, Microsoft.Bcl.Memory 10.0.

Microsoft ha lanzado oficialmente actualizaciones de seguridad para corregir el error de lectura fuera de límites. Se requiere acción por parte de los clientes para proteger los sistemas vulnerables.

Se recomienda encarecidamente a los administradores y desarrolladores que tomen las siguientes medidas de inmediato:

Actualizar entornos .NET 9.0: Actualiza todas las instalaciones de .NET 9.0 a la versión 9.0.14. Esto aplica para Windows, macOS y Linux.

Actualizar entornos .NET 10.0: Actualiza todas las instalaciones de .NET 10.0 a la versión 10.0.4.

Parchear paquetes NuGet: Si tus aplicaciones utilizan el paquete Microsoft.Bcl.Memory, actualízalo a las versiones parcheadas 9.0.14 o 10.0.4 a través de tu gestor de paquetes.

Revisar registros del sistema: Aunque la explotación es actualmente poco probable, siempre es una buena práctica monitorear el tráfico de red y los registros de aplicaciones en busca de bloqueos inesperados o solicitudes de red inusuales que puedan indicar un intento de DoS.

Al aplicar estas correcciones oficiales, las organizaciones pueden proteger su infraestructura .NET de posibles interrupciones del servicio y mantener la disponibilidad de sus aplicaciones críticas.