Se ha revelado una vulnerabilidad crítica en el núcleo de Windows, identificada como CVE-2026-40369, que permite a los atacantes lograr una escalada de privilegios a nivel de SYSTEM. Este fallo, descubierto por el investigador Ori Nimron, afecta a las versiones 24H2 y 25H2 de Windows 11 y se localiza en el componente ntoskrnl.exe, específicamente dentro de la función ExpGetProcessInformation, permitiendo la ejecución desde entornos muy restringidos como los sandboxes de los navegadores.

Se ha revelado una vulnerabilidad crítica del kernel de Windows, seguida como CVE-2026-40369, que permite a los atacantes lograr una escalada de privilegios completa a nivel de SYSTEM, incluso desde los entornos más restringidos, incluidos los sandboxes de los navegadores.

Descubierta por el investigador de seguridad Ori Nimron, la falla afecta a las versiones de Windows 11 desde la 24H2 hasta la 25H2 y reside en el componente ntoskrnl.exe, específicamente dentro de la función ExpGetProcessInformation.

La vulnerabilidad es particularmente grave porque es 100% determinista, requiriendo solo una única llamada al sistema desde un proceso sin privilegios para manipular la memoria del kernel.

El núcleo del problema es la llamada al sistema NtQuerySystemInformation utilizando la clase de información 253 (SystemProcessInformationExtension).

Vulnerabilidad del Kernel de Windows

Cuando se invoca con una longitud de búfer de cero, la validación ProbeForWrite del kernel se omite por completo, permitiendo que cualquier puntero proporcionado por el usuario, incluidas las direcciones del kernel, se utilice sin comprobaciones.

Esto da como resultado una potente primitiva de incremento arbitrario de la memoria del kernel. Durante la ejecución, la función vulnerable itera a través de todos los procesos en ejecución.

Incrementa los valores en una dirección de memoria controlada por el atacante, modificando efectivamente la memoria del kernel de una manera predecible y repetible.

Esta falla destaca porque no depende de técnicas de explotación tradicionales como condiciones de carrera, "heap spraying" o manipulación de tokens. En su lugar, proporciona acceso de escritura directo a la memoria del kernel a través de un fallo lógico.

Debido a que NtQuerySystemInformation no está sujeta a las protecciones comunes de sandbox, como el bloqueo de Win32k o las comprobaciones de nivel de integridad.

La vulnerabilidad es accesible desde entornos de sandbox como los renderizadores de Chrome, Edge y Firefox, lo que la hace sumamente valiosa para las cadenas de escape de navegadores.

Un escenario de ataque de ejemplo comienza con un proceso renderizador de navegador comprometido. Usando esta vulnerabilidad, un atacante puede incrementar estructuras específicas del kernel para obtener más primitivas, incluidas capacidades de lectura arbitraria del kernel.

Al corromper cuidadosamente estructuras internas como CmpLayerVersions, los atacantes pueden redirigir los punteros del kernel hacia la memoria controlada por el usuario y extraer datos confidenciales del kernel.

Esto permite omitir protecciones como la Aleatorización del Diseño del Espacio de Direcciones del Kernel (KASLR) y localizar estructuras críticas, como EPROCESS.

Con el acceso de lectura al kernel establecido, los atacantes pueden recorrer la lista de procesos activos para localizar el token de su propio proceso y manipular las máscaras de bits de privilegios.

Incrementar desplazamientos específicos dentro de la estructura del token puede habilitar privilegios como SeDebugPrivilege. Esto permite abrir manejadores para procesos de alto privilegio como winlogon.exe e inyectar código malicioso, generando finalmente una shell de comandos ejecutándose como NT AUTHORITY\SYSTEM.

La vulnerabilidad también resalta una debilidad arquitectónica más amplia: Windows no impone la Prevención de Acceso en Modo Supervisor (SMAP), permitiendo que el kernel acceda a la memoria en modo usuario durante la explotación de forma segura.

Este comportamiento permite a los atacantes mapear estructuras falsas en el espacio de usuario y hacer que el kernel las procese sin provocar fallos, simplificando significativamente la explotación.

El investigador de seguridad Ori Nimron enfatizó que este error existe en una llamada al sistema muy escrutada, demostrando que incluso las rutas de código bien auditadas pueden contener fallos críticos.

La vulnerabilidad fue desarrollada originalmente para Pwn2Own Berlín 2026. Sin embargo, se reveló públicamente después de que el envío fuera rechazado debido a limitaciones de capacidad.

Actualmente, no se han confirmado detalles sobre un parche oficial, y los usuarios que ejecutan las compilaciones afectadas de Windows 11 están en riesgo.

Se recomienda a las organizaciones supervisar el uso inusual de NtQuerySystemInformation, aplicar las actualizaciones tan pronto como estén disponibles e implementar reglas de detección en los endpoints para identificar patrones anormales de interacción con el kernel.

Esta vulnerabilidad subraya los riesgos continuos en las superficies de ataque del kernel y la importancia de realizar auditorías de seguridad continuas.