Microsoft reveló el 9 de junio de 2026 una vulnerabilidad de omisión de la función de seguridad de Windows BitLocker, identificada como CVE-2026-50507. Este fallo, causado por una falla en el mecanismo de protección, permite que un atacante con acceso físico al equipo pueda evadir el cifrado del dispositivo y acceder a datos sensibles almacenados en el sistema.

Microsoft reveló una nueva vulnerabilidad de omisión de la función de seguridad de Windows BitLocker, identificada como CVE-2026-50507, el 9 de junio de 2026, como parte de su lanzamiento de seguridad del Patch Tuesday de junio.

El fallo, originado en un fallo del mecanismo de protección, permite que un atacante no autorizado con acceso físico omita el cifrado de dispositivos BitLocker y acceda a datos sensibles en el dispositivo de almacenamiento del sistema.

La debilidad se asocia con CWE‑306 (Ausencia de autenticación para una función crítica), lo que indica que una función crítica de BitLocker puede activarse sin los controles de autenticación adecuados.

El fallo tiene una puntuación base CVSS v3.1 de 6.8 (Importante), con un vector de ataque físico, baja complejidad, no requiere privilegios y no necesita interacción del usuario.

Windows BitLocker 0-Day

En la práctica, esto significa que cualquier persona que pueda obtener acceso físico a un dispositivo vulnerable podría eludir el cifrado de dispositivos BitLocker y acceder a los datos subyacentes.

La vulnerabilidad afecta a una amplia gama de versiones compatibles de clientes y servidores de Windows, incluyendo Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1) y Windows Server 2012 R2 hasta Windows Server 2025.

Microsoft ha lanzado correcciones para estas plataformas a través de las actualizaciones de seguridad del 9 de junio de 2026, incluyendo KB5094041, KB5094122, KB5094123, KB5094126, KB5094127, KB5094128 y KB5095051.

El índice de explotabilidad de Microsoft califica el CVE‑2026‑50507 como "Explotación más probable", y el error fue divulgado públicamente antes de que los parches estuvieran disponibles, lo que aumenta el riesgo de un abuso rápido en el mundo real.

Aunque no hay evidencia de explotación activa en el momento del lanzamiento, existe código de prueba de concepto (PoC), lo que normalmente acelera la adopción de los ataques.

Para abusar del CVE‑2026‑50507, un atacante debe tener acceso físico al sistema objetivo; por ejemplo, un portátil robado, una estación de trabajo incautada o un servidor sin supervisión.

Al aprovechar la falta de comprobación de autenticación en el flujo de protección de BitLocker, el atacante puede omitir el cifrado de dispositivos BitLocker en la unidad del sistema y obtener acceso total a archivos que deberían permanecer ilegibles en reposo.

Dado que normalmente se confía en BitLocker para proteger datos corporativos y personales sensibles en dispositivos perdidos o robados, una omisión exitosa anula efectivamente esa última línea de defensa.

Las organizaciones que dependen de configuraciones de BitLocker solo con TPM están particularmente expuestas, ya que la posesión física de un dispositivo puede ser suficiente para recuperar los datos sin ningún secreto del usuario.

Microsoft ha publicado una corrección oficial para el CVE‑2026‑50507, y los administradores deben priorizar el despliegue de las actualizaciones acumulativas de junio de 2026 para todas las compilaciones afectadas de clientes y servidores de Windows.

Las empresas deben verificar que la protección de BitLocker esté habilitada y saludable después del parcheado y aplicar configuraciones de BitLocker de múltiples factores, como TPM+PIN donde sea posible, en lugar de confiar únicamente en la protección TPM.

Teniendo en cuenta el requisito de acceso físico, las organizaciones también deberían revisar el manejo de dispositivos, las medidas de prevención de robos y los manuales de respuesta a incidentes para los endpoints que se pierdan o roben hasta que los parches se implementen por completo.

Los equipos de seguridad deben hacer un seguimiento de los sistemas que no puedan actualizarse inmediatamente, como equipos de laboratorio o activos remotos, y aplicar controles compensatorios, incluyendo controles estrictos de acceso físico y la baja rápida de los dispositivos comprometidos.