Una vulnerabilidad de Windows de alta gravedad denominada “RegPwn” (CVE-2026-24291) es un fallo de elevación de privilegios que permite a usuarios con bajos privilegios obtener acceso completo como SYSTEM.

El equipo rojo de MDSec descubrió la vulnerabilidad y la utilizó con éxito en compromisos internos desde enero de 2025, antes de que fuera solucionada en una reciente actualización del Microsoft Patch Tuesday.

El ataque se dirige a la forma en que Windows gestiona sus funciones de accesibilidad integradas, como el Teclado en Pantalla y el Narrador.

Las funciones de accesibilidad de Windows están diseñadas para ayudar a los usuarios a navegar por el sistema operativo, operando principalmente en el contexto del usuario pero con acceso de alta integridad.

Cuando un usuario inicia una herramienta como el Teclado en Pantalla, Windows crea una clave de registro específica para almacenar su configuración. Lo importante es que esta clave de registro otorga control total a un usuario con bajos privilegios.

Durante el proceso de inicio de sesión, estas configuraciones se copian en el hive del registro de la máquina local mediante un proceso del sistema.

Como la clave de registro de la máquina local recién creada sigue siendo escribible por el usuario que ha iniciado sesión, introduce una vía peligrosa para la manipulación.

La vulnerabilidad se hace evidente cuando las configuraciones controladas por el usuario interactúan con el entorno de Escritorio Seguro de Windows.

El Escritorio Seguro es un entorno aislado utilizado para tareas como bloquear la estación de trabajo o solicitar credenciales de administrador.

Por diseño, solo los procesos de confianza que se ejecutan con privilegios SYSTEM pueden ejecutarse en el Escritorio Seguro.

Cuando un usuario activa este estado seguro, el sistema inicia procesos que manejan las configuraciones de accesibilidad, operando tanto como el usuario estándar como con la cuenta SYSTEM.

Para explotar este comportamiento, un atacante puede modificar su clave de registro de accesibilidad a nivel de usuario e insertar un bloqueo oportunista (oplock) en un archivo del sistema específico.

Cuando el usuario bloquea su estación de trabajo, el sistema intenta copiar las configuraciones de accesibilidad modificadas en el registro de la máquina local.

El oplock obliga al sistema a pausarse brevemente, dando al atacante una estrecha ventana de tiempo para actuar.

Durante esta pausa, el atacante reemplaza la clave de registro de la máquina local con un enlace simbólico que apunta a una clave de registro del sistema arbitraria.

Como el proceso que copia los datos se ejecuta como SYSTEM, el atacante logra escribir valores arbitrarios en áreas altamente restringidas del registro de Windows.

En la prueba de concepto de MDSec, utilizaron este truco para sobrescribir la ruta de ejecución de un servicio del sistema, otorgándoles inmediatamente un símbolo del sistema con privilegios SYSTEM.

Microsoft ha parcheado con éxito CVE-2026-24291 como parte de sus actualizaciones de seguridad habituales.

Se recomienda encarecidamente a los administradores de sistemas que apliquen las últimas actualizaciones de Windows para proteger sus entornos contra este vector de escalada de privilegios local.

Para investigadores defensivos y equipos de seguridad, MDSec ha hecho público su código de explotación de RegPwn en GitHub para su estudio.