Se ha publicado una prueba de concepto (PoC) de un nuevo fallo de omisión de reflexión NTLM que permite obtener acceso a nivel de SYSTEM en Windows Server 2025. Esta vulnerabilidad, identificada como CVE-2026-24294, demuestra que persisten debilidades de diseño en la autenticación de Microsoft, incluso después de haber parcheado problemas similares recientemente.

Se ha publicado un exploit de prueba de concepto (PoC) funcional para un nuevo fallo de omisión de reflexión NTLM que permite el acceso a nivel de SYSTEM en Windows Server 2025, lo que genera nuevas preocupaciones sobre la resiliencia del endurecimiento de la autenticación de Microsoft.

La vulnerabilidad, identificada como CVE-2026-24294, demuestra que incluso después de que se parcheara el conocido problema de reflexión NTLM CVE-2025-33073, las debilidades de diseño subyacentes en la autenticación de Windows no se resolvieron por completo.

En 2025, el CVE-2025-33073 reintrodujo la reflexión NTLM como un potente vector de ataque, permitiendo que un atacante obligue a un host de Windows a autenticarse en un servicio controlado por el atacante y luego retransmita esa autenticación a la misma máquina para obtener privilegios de SYSTEM.

La solución de Microsoft se centró en el cliente SMB, bloqueando las conexiones donde el nombre del objetivo contenía información adicional del objetivo marshalizado. Esta técnica se había utilizado para hacer que la autenticación remota pareciera local.

Se publica PoC para el fallo de omisión de reflexión NTLM

Los investigadores advirtieron que esta mitigación era limitada: si se encontraba otra forma de obtener autenticación local NTLM o Kerberos en un servidor controlado, los ataques de reflexión podrían reaparecer.

Esa predicción se ha materializado. El nuevo fallo CVE-2026-24294 abusa de una función introducida en Windows 11 24H2 y Windows Server 2025 que permite conexiones SMB a través de puertos TCP arbitrarios, en lugar del puerto tradicional 445.

Esta función tenía como objetivo aumentar la flexibilidad de los despliegues de SMB. Sin embargo, en la práctica, abrió un nuevo camino para la reflexión NTLM local en servidores donde no se impone la firma SMB.

El ataque funciona en dos etapas principales. Primero, el atacante inicia un servidor SMB local que escucha en un puerto no estándar, como el 12345, y monta un recurso compartido utilizando un comando como “net use \127.0.0.1\share /tcpport:12345”.

Esto obliga al cliente SMB de Windows a establecer y mantener una conexión TCP con el servidor local malicioso.

Debido a que SMB admite la multiplexación, varias sesiones autenticadas pueden reutilizar la misma conexión TCP, y Windows preferirá reutilizar una conexión existente en lugar de crear una nueva.

En la segunda etapa, el atacante obliga a un servicio privilegiado como LSASS, que se ejecuta como NT AUTHORITY\SYSTEM, a acceder a la misma ruta del recurso compartido, por ejemplo, utilizando una primitiva de coerción modificada al estilo de PetitPotam.

El cliente SMB se autentica entonces en el servidor SMB local del atacante a través de la conexión ya establecida, realizando una autenticación NTLM local porque el objetivo efectivamente resuelve a la misma máquina.

El atacante captura esta autenticación NTLM privilegiada y la retransmite al servicio SMB real en el host utilizando una herramienta de relay como ntlmrelayx de Impacket, lo que resulta en una sesión SMB autenticada como SYSTEM y la vulneración local completa.

Los investigadores de Synacktiv crearon un PoC fiable utilizando smbserver.py y ntlmrelayx de Impacket, un binario local de PetitPotam modificado y net.exe de Windows.

El exploit funciona por defecto en Windows Server 2025. Sin embargo, falla en Windows 11 24H2, donde la firma SMB es obligatoria y los ataques de relay son bloqueados en la capa de integridad del protocolo.

Microsoft asignó el CVE-2026-24294 al problema y lanzó una corrección en la versión de Patch Tuesday de marzo de 2026, cerrando esta ruta de reflexión específica.

El nuevo PoC demuestra que simplemente bloquear una técnica de reflexión NTLM no es suficiente; mientras NTLM siga siendo ampliamente utilizado y la firma SMB sea opcional, los atacantes podrán seguir descubriendo nuevas formas de coagir y retransmitir autenticaciones privilegiadas.

Para ti, que defiendes tu red, el parcheo oportuno, la firma SMB estricta, la reducción del uso de NTLM y la monitorización cuidadosa del tráfico SMB inusual en puertos no estándar son ahora críticos para prevenir compromisos similares a nivel de SYSTEM en entornos de Windows Server.