Microsoft ha solucionado dos nuevas vulnerabilidades de divulgación de información en el Protocolo de Escritorio Remoto (RDP) de Windows, identificadas como CVE-2026-42908 y CVE-2026-45639. Ambos fallos, causados por lecturas fuera de límites en la pila RDP, fueron corregidos en las actualizaciones de seguridad del 9 de junio de 2026 y tienen una calificación de "Importante" con una puntuación CVSS v3 de 7.5.

Los sistemas Windows se ven afectados por dos nuevas vulnerabilidades de divulgación de información del Protocolo de Escritorio Remoto (RDP), CVE-2026-42908 y CVE-2026-45639. Ambos problemas se resolvieron en las actualizaciones de seguridad de Microsoft publicadas el 9 de junio de 2026.

Ambos fallos se originan en lecturas fuera de límites en el stack de RDP y están calificados como Importantes, con una puntuación base CVSS v3 de 7.5.

Vulnerabilidades del Protocolo de Escritorio Remoto de Windows

Microsoft describe CVE-2026-42908 y CVE-2026-45639 como vulnerabilidades de divulgación de información en el Protocolo de Escritorio Remoto de Windows causadas por una condición de lectura fuera de límites.

Un atacante no autenticado puede explotar estos errores de forma remota a través de la red sin ninguna interacción del usuario, lo que se refleja en el vector CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.

Aunque ambos problemas son "solo" de divulgación de información, exponen contenidos sensibles de la memoria que pueden encadenarse con otras vulnerabilidades para permitir ataques más impactantes, como la ejecución remota de código o la evasión del sandbox.

Microsoft actualmente evalúa la explotación como "Menos Probable", y no existe un exploit público ni evidencia de abuso en entornos reales en el momento del lanzamiento.

Según el aviso de Microsoft, la explotación exitosa de CVE-2026-42908 puede revelar direcciones de memoria local, debilitando significativamente las mitigaciones de exploits modernos como ASLR.

Para CVE-2026-45639, un atacante podría ser capaz de leer porciones de la memoria del proceso, filtrando potencialmente credenciales, tokens de sesión o datos del estado del protocolo, dependiendo de lo que resida en la región de memoria objetivo.

Los errores afectan a un amplio conjunto de versiones de clientes y servidores de Windows donde RDP está disponible, incluyendo Windows 10 (21H2, 22H2, 1607, 1809), Windows 11 (23H2, 24H2, 25H2, 26H1) y Windows Server 2012, 2012 R2, 2016, 2019, 2022 y 2025, así como el cliente de Escritorio Remoto/cliente de Windows App para Windows Desktop.

Todos los productos afectados recibieron parches como parte del despliegue del Patch Tuesday del 9 de junio de 2026.

Ambos CVE están asociados con CWE-125, Lectura fuera de límites, lo que indica que el componente RDP vulnerable lee datos más allá de los límites de un búfer asignado.

En la práctica, esto significa que el tráfico RDP manipulado puede hacer que el servicio devuelva datos de regiones de memoria adyacentes en lugar de solo los datos del protocolo esperados.

Debido a que las vulnerabilidades son accesibles antes de la autenticación a través de la red, generan una preocupación particular para los endpoints de RDP expuestos a internet y los entornos multi-inquilino donde un inquilino podría intentar una filtración de información entre inquilinos a través de la infraestructura compartida.

Si bien no hay un impacto en la integridad o disponibilidad, el alto impacto en la confidencialidad hace que estos errores sean valiosos para los atacantes que construyen cadenas de exploits fiables.

Microsoft ha enviado correcciones oficiales, y la remediación recomendada es aplicar las actualizaciones de seguridad del 9 de junio de 2026 o los paquetes acumulativos/rollup relacionados para cada versión de Windows y compilación de cliente RDP afectada.

Tú, como administrador, deberías priorizar los sistemas que exponen RDP a través de internet y los servidores backend críticos donde las divulgaciones de memoria podrían ayudar al movimiento lateral o a la escalada de privilegios.

Como endurecimiento general, las organizaciones deberían restringir el acceso RDP detrás de VPN o hosts bastión, imponer una autenticación fuerte y monitorizar patrones de conexión RDP inusuales. Al mismo tiempo, la comunidad continúa analizando estos parches en busca de posibles primitivas de explotación.