PhantomRPC, una vulnerabilidad arquitectónica recién identificada en el sistema de Llamada a Procedimiento Remoto (RPC) de Windows, permite la escalada de privilegios locales hasta acceder al nivel SYSTEM. Esta falla podría afectar a todas las versiones de Windows. La investigación fue presentada por el especialista en seguridad de aplicaciones de Kaspersky, Haidar Kabibo, en Black Hat Asia 2026 el 24 de abril, y detalla cinco rutas distintas de explotación, ninguna de las cuales ha sido revelada en su totalidad.

PhantomRPC es una vulnerabilidad arquitectónica recién identificada en Windows Remote Procedure Call (RPC) que permite la escalada de privilegios locales a acceso de nivel SYSTEM, afectando potencialmente a todas las versiones de Windows.

La investigación fue presentada por el especialista en seguridad de aplicaciones de Kaspersky, Haidar Kabibo, en Black Hat Asia 2026 el 24 de abril y detalla cinco rutas de explotación distintas, ninguna de las cuales ha recibido un parche de Microsoft.

PhantomRPC no es un error clásico de corrupción de memoria ni un fallo lógico en un solo componente. En su lugar, explota una debilidad en el diseño arquitectónico de cómo el entorno de ejecución de Windows RPC (rpcrt4.dll) maneja las conexiones a servidores RPC no disponibles.

Cuando un proceso con altos privilegios intenta realizar una llamada RPC a un servidor que está desconectado o deshabilitado, el entorno de ejecución de RPC no verifica si el servidor que responde es legítimo.

Esto significa que un atacante que controle un proceso con bajos privilegios, como uno que se ejecute bajo NT AUTHORITY\NETWORK SERVICE, puede desplegar un servidor RPC malicioso que imite un punto final legítimo e interceptar esas llamadas.

El abuso principal se basa en la API RpcImpersonateClient. Cuando un cliente privilegiado se conecta al servidor falso con un alto nivel de suplantación, el servidor del atacante llama a esta API para asumir el contexto de seguridad del cliente, escalando desde una cuenta de servicio con bajos privilegios directamente a SYSTEM o Administrador.

Cinco rutas de explotación

Los investigadores identificaron cinco escenarios de ataque concretos:

• Coerción de gpupdate.exe — Al ejecutar gpupdate /force, el servicio Cliente de Directivas de Grupo (que se ejecuta como SYSTEM) realiza una llamada RPC a TermService. Si TermService está deshabilitado, el servidor RPC falso del atacante intercepta la llamada, obteniendo acceso de nivel SYSTEM.
• Inicio de Microsoft Edge — Cuando se lanza msedge.exe, este desencadena una llamada RPC a TermService con un alto nivel de suplantación. Un atacante que espere con un punto final falsificado puede escalar de Network Service a Administrador sin necesidad de coerción.
• Servicio en segundo plano WDI — El Host del Sistema de Diagnóstico (WdiSystemHost), que se ejecuta como SYSTEM, sondea periódicamente TermService cada 5–15 minutos. No se requiere interacción del usuario; el atacante simplemente espera la llamada automatizada.
• ipconfig.exe y Cliente DHCP — Ejecutar ipconfig.exe desencadena una llamada RPC interna al servicio Cliente DHCP. Con DHCP deshabilitado y un servidor falso en su lugar, un atacante con privilegios de Local Service escala a Administrador.
• w32tm.exe y Windows Time — El ejecutable de Windows Time intenta primero conectarse a una tubería nombrada inexistente \PIPE\W32TIME. Un atacante puede exponer este punto final sin deshabilitar el servicio legítimo W32Time y luego suplantar a cualquier usuario privilegiado que ejecute el binario.

Respuesta de Microsoft — Sin parche

La vulnerabilidad fue reportada al Microsoft Security Response Center (MSRC) el 19 de septiembre de 2025.

Microsoft respondió 20 días después, clasificando el problema como de gravedad moderada con el argumento de que el ataque requiere SeImpersonatePrivilege, un privilegio que ya tienen por defecto las cuentas Network Service y Local Service.

No se asignó un CVE y el caso se cerró sin una solución programada, según el informe de Kaspersky.

Hasta que se publique un parche, puedes tomar las siguientes medidas:

• Habilita el monitoreo de RPC basado en ETW para detectar errores RPC_S_SERVER_UNAVAILABLE (ID de Evento 1) combinados con altos niveles de suplantación desde procesos privilegiados.
• Habilita servicios deshabilitados, como TermService cuando sea posible, para que los puntos finales legítimos estén ocupados y no puedan ser secuestrados.
• Restringe SeImpersonatePrivilege solo a aquellos procesos que lo requieran estrictamente; no lo concedas a aplicaciones personalizadas o de terceros.

Kaspersky ha publicado todas las herramientas utilizadas en el marco de investigación a través del repositorio de GitHub PhantomRPC, permitiendo a las organizaciones auditar sus propios entornos en busca de patrones de llamadas RPC explotables.