CVE-2026-42980: reversing y explotación del underflow en WMI del kernel de Windows

Se ha publicado un código de exploit de prueba de concepto (PoC) público para CVE-2026-42980, una vulnerabilidad de escalada de privilegios locales en el kernel del sistema operativo Windows NT. Esta vulnerabilidad ocurre debido a un desbordamiento inferior de enteros (integer underflow) en el código del modo kernel.

CVE-2026-42980 es un fallo de elevación de privilegios en el kernel del SO Windows NT causado por una condición de desbordamiento inferior (wraparound) en una ruta de código del kernel.

Este error permite que un atacante autenticado localmente con privilegios bajos provoque un manejo aritmético incorrecto, lo que conduce a un comportamiento inseguro del kernel y, en última instancia, a la ejecución de código en un contexto altamente privilegiado.

Una explotación exitosa permite al atacante escalar sus privilegios desde una cuenta de usuario estándar hasta NT AUTHORITY\SYSTEM, otorgando un control total sobre el host de Windows afectado.

PoC para la vulnerabilidad del kernel del SO Windows NT

El investigador de seguridad alias G4sp4rCS ha publicado un repositorio dedicado en GitHub que incluye un PoC exploit funcional para CVE-2026-42980. Este repositorio contiene scripts de compilación, código fuente y un informe técnico en inglés.

El árbol de fuentes incluye código en C dirigido a la ruta del kernel relacionada con WMI que es vulnerable, junto con archivos de ayuda y herramientas de compilación (Makefile y script de PowerShell) para compilar el binario en Windows utilizando las cadenas de herramientas de MSVC.

Según los materiales de divulgación, el exploit está destinado a ser utilizado únicamente en versiones de laboratorio vulnerables y está etiquetado explícitamente para fines educativos, investigación defensiva y solo para pruebas autorizadas. Se enfatiza que el código solo debe ejecutarse en entornos aislados.

Esta vulnerabilidad está calificada como de gravedad alta porque solo requiere acceso local con privilegios bajos y ninguna interacción del usuario, lo que resulta en el compromiso total del sistema si se explota con éxito.

Con la publicación del código del exploit público, la barrera para la creación de armas ha disminuido significativamente, facilitando que los actores de amenazas incorporen esta técnica en sus manuales de post-compromiso para el movimiento lateral y la escalada de privilegios en endpoints y servidores de Windows.

Los escenarios de abuso comunes incluyen el despliegue del PoC o una versión modificada después de obtener acceso inicial mediante phishing, exploits de navegador o malware. Esto permite a los atacantes escapar de contextos de usuario restrictivos y desactivar los controles de seguridad a nivel de kernel.

Microsoft ha lanzado una actualización del kernel que soluciona CVE-2026-42980 como parte de su ciclo regular de lanzamientos de seguridad. Se insta a los administradores a aplicar los parches correspondientes en todos los sistemas Windows afectados sin demora.

Deberías verificar la implementación de los parches a través de tus plataformas de gestión de endpoints, priorizar los entornos de servidor terminal y multiusuario de alto riesgo, y restringir los derechos de inicio de sesión local a cuentas confiables para reducir el grupo de usuarios capaces de activar el fallo.

A los defensores se les aconseja además implementar listas blancas de aplicaciones para bloquear la ejecución de binarios no confiables, monitorizar intentos sospechosos de elevación de privilegios y reservar cualquier prueba del código PoC para configuraciones de laboratorio estrictamente controladas.