Una vulnerabilidad crítica de escalada de privilegios locales ha sido identificada en el cliente de copia de seguridad en la nube IDrive para Windows. Registrada como CVE-2026-1995, esta vulnerabilidad de escalada de privilegios locales afecta al cliente de copia de seguridad en la nube IDrive para Windows, específicamente a las versiones 7.0.0.63 y anteriores. Investigadores de seguridad de FRSecure descubrieron que configuraciones débiles de permisos dentro del directorio de la aplicación.

Se ha identificado una vulnerabilidad crítica de escalada de privilegios locales en el IDrive Cloud Backup Client para Windows.

Registrada como CVE-2026-1995, esta vulnerabilidad de escalada de privilegios local afecta al IDrive Cloud Backup Client para Windows, específicamente a las versiones 7.0.0.63 y anteriores.

Investigadores de seguridad de FRSecure descubrieron que configuraciones de permisos débiles en el directorio de la aplicación podrían llevar rápidamente a un compromiso total del sistema.

Cuando se explota con éxito, el fallo permite a un atacante autenticado ejecutar código malicioso en el contexto de alto privilegio NT AUTHORITY\SYSTEM.

En el momento de la divulgación, el proveedor aún estaba desarrollando un parche oficial para esta vulnerabilidad de seguridad.

Vulnerabilidad en IDrive para Windows

La vulnerabilidad radica en el funcionamiento del cliente de IDrive para Windows, específicamente en el proceso id_service.exe. Esta utilidad gestiona las copias de seguridad en la nube y se ejecuta continuamente en segundo plano con privilegios elevados del sistema.

Durante las operaciones normales, el servicio lee regularmente varios archivos de configuración almacenados en el directorio C:\ProgramData\IDrive. El servicio utiliza el contenido codificado en UTF-16 LE de estos archivos como argumentos directos al lanzar nuevos procesos en la máquina.

Debido a que el software aplica permisos inherentemente débiles a este directorio, cualquier usuario estándar con sesión iniciada en el sistema Windows puede modificar estos archivos críticos.

Un atacante autenticado con privilegios de bajo nivel puede sobrescribir un archivo existente o crear uno nuevo, insertando una ruta de archivo que apunte a un script o ejecutable malicioso.

Cuando el servicio de copia de seguridad finalmente lee este archivo modificado, ejecuta sin saberlo la carga útil del atacante con sus propios permisos de máximo nivel.

Al explotar esta vulnerabilidad, un atacante puede eludir los límites de seguridad estándar de Windows e instantáneamente escalar su acceso desde una cuenta de usuario limitada a una cuenta de administrador con privilegios completos.

Una vez que un atacante obtiene acceso de alto nivel, establece un control total sobre la máquina comprometida.

Este acceso permite a los actores de amenazas desplegar malware sofisticado, extraer datos altamente sensibles, alterar configuraciones del sistema central, y desactivar soluciones de seguridad de endpoints instaladas.

Aunque el atacante debe tener ya acceso local a la máquina objetivo para activar el exploit, esta vulnerabilidad sigue representando un riesgo de seguridad significativo.

Es especialmente peligrosa en entornos de computación compartida o en cadenas de ataque activas donde un actor de amenazas ya ha obtenido un punto de apoyo inicial con bajos privilegios y busca elevar sus permisos para moverse lateralmente a través de la red.

Mitigaciones

Hasta que IDrive implemente la solución oficial, los equipos de seguridad deben recurrir a soluciones manuales para proteger sus endpoints empresariales.

Los administradores deben seguir las recomendaciones del CERT Coordination Center y restringir inmediatamente los permisos de escritura para todos los usuarios estándar en el directorio afectado.

Además, se recomienda encarecidamente a las organizaciones que utilicen soluciones de detección en endpoints y políticas de grupo para monitorear activamente modificaciones no autorizadas de archivos.

Los equipos de seguridad deben buscar específicamente procesos hijos sospechosos generados desde el ejecutable principal del servicio. Los administradores de sistemas deben monitorear continuamente los canales oficiales de lanzamiento y aplicar las actualizaciones de software tan pronto como estén disponibles.