Se ha detectado una vulnerabilidad de severidad alta en Windows 11 y Windows Server 2025, identificada como CVE-2026-50458. El fallo se encuentra en el controlador bfs.sys del Brokering File System (BFS), el cual gestiona el acceso a archivos y registros entre aplicaciones aisladas (como AppContainer y apps UWP) y el sistema operativo, permitiendo así una escalada de privilegios locales en los sistemas afectados.

Windows 11 y Windows Server 2025 presentan una vulnerabilidad de severidad alta en el Brokering File System (BFS) de Microsoft, identificada como CVE-2026-50458, la cual permite la escalada de privilegios locales en los sistemas afectados.

El fallo se encuentra en bfs.sys. Este controlador de minifiltro gestiona el acceso a archivos, tuberías (pipes) y al registro entre las aplicaciones en entorno aislado (como AppContainer y aplicaciones UWP) y el sistema operativo.

Esta vulnerabilidad, detallada por Rotce, afecta a las versiones 24H2, 25H2 y 26H1 de Windows 11 en arquitecturas x64 y ARM64, así como a Windows Server 2025, incluidas las instalaciones de Server Core, antes de las versiones parcheadas específicas.

La vulnerabilidad surge de una condición de uso posterior a la liberación (use-after-free) debido a una condición de carrera en el manejo interno de directorios de BFS. Cuando se ejecutan operaciones concurrentes en la misma ruta, puede provocar que los objetos del kernel se liberen mientras aún están en uso, violando las garantías de seguridad de la memoria.

Vulnerabilidad en Windows Brokering File System

Microsoft ha clasificado este problema como una vulnerabilidad de elevación de privilegios, asignándole una puntuación CVSS 3.1 de 7.8, lo que indica un nivel de riesgo alto.

Para explotar la CVE-2026-50458, un atacante debe tener acceso local autenticado, normalmente como un usuario con bajos privilegios o ejecutando código en un contexto de entorno aislado (sandbox).

Al enviar solicitudes IOCTL manipuladas al dispositivo BFS y hacer un mal uso de la interfaz de configuración de políticas, un atacante puede manipular múltiples hilos a través de la ruta vulnerable, corrompiendo finalmente la memoria del kernel y escalando los privilegios a SYSTEM.

Según el aviso de Rotcee en GitHub, la vulnerabilidad proviene de una condición de carrera y un fallo de uso posterior a la liberación, lo que permite a los atacantes obtener el control total de los sistemas afectados y comprometer la confidencialidad, integridad y disponibilidad.

Aunque BFS está diseñado para garantizar un aislamiento estricto para las aplicaciones en sandbox, la explotación de este fallo compromete esa separación. Permite que un atacante pase de un entorno limitado al control total del sistema.

La telemetría y los análisis del proveedor muestran que las versiones 24H2, 25H2 y 26H1 de Windows 11 son vulnerables si ejecutan versiones anteriores a 26100.8875, 26200.8875 y 28000.2269, respectivamente.

Windows Server 2025 corre un riesgo similar para versiones inferiores a 26100.33158, lo que hace que las aplicaciones que dependen del aislamiento sean particularmente vulnerables.

Plataforma	Versiones Vulnerables (Antes de)	Versión del Parche / Actualización	Severidad
Windows 11 24H2	< 26100.8875	KB5101650 (Julio 2026)	Alta 7.8
Windows 11 25H2	< 26200.8875	KB5101650 (Julio 2026)	Alta 7.8
Windows 11 26H1	< 28000.2269	CU Julio 2026	Alta 7.8
Windows Server 2025	< 26100.33158	CU Julio 2026	Alta 7.8

Hasta el momento, no se han reportado casos confirmados de explotación o ransomware utilizando la CVE-2026-50458, y no aparece en la lista de Vulnerabilidades Explotadas Conocidas de la CISA.

No obstante, la naturaleza de nivel de kernel de la vulnerabilidad y la prevalencia de Windows 11 y Server 2025 en entornos empresariales requieren la atención urgente de los equipos de seguridad.

Microsoft lanzó una corrección para esta vulnerabilidad en la actualización del Patch Tuesday del 14 de julio de 2026, incluida en la actualización acumulativa KB5101650 para las versiones 24H2 y 25H2 de Windows 11, con actualizaciones correspondientes para 26H1 y Windows Server 2025.

Tú y tu organización deberían evaluar sus sistemas que ejecuten Windows 11 o Server 2025, comprobar los números de compilación frente a los rangos vulnerables e integrar las actualizaciones de seguridad de julio de 2026 en sus calendarios de parcheo.

En situaciones donde las actualizaciones inmediatas se retrasen, tus equipos de seguridad deberían restringir el inicio de sesión local y los derechos de ejecución para cuentas con bajos privilegios, reforzar los controles de aplicaciones y monitorizar anomalías en la actividad del controlador BFS hasta que se implemente la remediación.

Fuentes:
https://cybersecuritynews.com/windows-brokering-file-system-vulnerability/