Se ha detectado una vulnerabilidad crítica (CVE-2026-41089) en el servicio Netlogon de Windows Server que permite a atacantes obtener privilegios de sistema mediante un paquete UDP malformado. El fallo afecta a controladores de dominio desde la versión 2012 hasta la actual y ya está siendo explotado activamente. Se recomienda a los administradores aplicar urgentemente los parches de Microsoft para evitar el acceso total a la red y posibles denegaciones de servicio.

La Gran Explotación de 2026 continúa acelerándose, con vulnerabilidades de seguridad publicándose a un ritmo alarmante y, a menudo, siendo explotadas en entornos reales casi antes de que alguien tenga tiempo de reaccionar. Hoy, Microsoft está en el centro de atención debido a una vulnerabilidad de ejecución remota con una calificación de 9.8 que afecta a los controladores de dominio (DC) de Windows Server, desde las versiones 2012 hasta las actuales. El exploit y su explicación son sencillos: cualquier usuario no autenticado en la misma red puede enviar un paquete UDP malformado a un DC y potencialmente obtener acceso al sistema, sin necesidad de acceso previo. Incluso si un atacante no llega tan lejos, es trivial obligar al DC a reiniciarse, creando posibles escenarios de denegación de servicio.

La vulnerabilidad es la CVE-2026-41089, y afortunadamente esta vez no es un día cero. El servicio vulnerable es Netlogon y, al parecer, no hay mitigación, siendo la única solución parchear los sistemas afectados. El parche llegó en el Patch Tuesday del 12 de mayo, pero es probable que muchos DC permanezcan sin actualizar, especialmente las versiones más antiguas. Los administradores de sistemas también pueden encontrar útiles los enlaces de parches específicos y los scripts de remediación.

Si un atacante logra manipular esta vulnerabilidad para obtener acceso de nivel de Sistema a los controladores de dominio, las consecuencias quedan a la imaginación. El malhechor puede crear cualquier número de cuentas con todo tipo de niveles de acceso, incluyendo Tickets de Concesión de Tickets de Kerberos, permitiendo el acceso a casi todos los datos de todo el dominio. Dado que los DC a menudo operan como parte de una red más grande en empresas medianas y grandes, una sola máquina vulnerable es suficiente para que toda la red sea insegura. Los expertos en ciberseguridad recomiendan que los administradores traten esto como una amenaza de estilo gusano y parcheen todos sus DC vinculados a la vez.


Microsoft afirmó que la vulnerabilidad no se había hecho pública en su momento y que no había ataques en curso utilizándola, pero la situación ha cambiado, ya que informes recientes han confirmado que ahora está siendo explotada en entornos reales . En cuanto a la prueba de concepto, existe un repositorio de GitHub con código de muestra que fuerza la caída del servicio LSASS después de un minuto aproximadamente.

Los detalles técnicos son sencillos y algo sorprendentes. El paquete de red manipulado que activa la vulnerabilidad no tiene nada complejo; simplemente contiene un campo que es más grande de lo que debería ser. La lógica de serialización de datos en el servicio Netlogon combina los datos suministrados por el atacante con el nombre de host del servidor, resultando en un desbordamiento de búfer clásico, el tipo de vulnerabilidad más directo.

Microsoft ha estado en las noticias de seguridad con frecuencia recientemente, principalmente debido a su disputa continua con el investigador de seguridad Chaotic Eclipse (también conocido como Nightmare Eclipse), quien publicó un montón de exploits de día cero después de que fracasaran las negociaciones con la empresa. La situación es incierta, pero ha escalado hasta el punto en que Microsoft ahora amenaza a Eclipse con acciones legales .


Fuente:
TomsHardware