Microsoft lanzó actualizaciones de seguridad que corrigen 398 vulnerabilidades, destacando una ya explotada que permite escalar privilegios al nivel de SYSTEM. También se incluyen parches para cuatro fallos críticos de ejecución remota de código que no requieren interacción del usuario. Finalmente, se completa la solución a una cadena de ataques que afectaba a servidores de SharePoint.







Microsoft lanzó sus actualizaciones de seguridad mensuales el martes, y uno de los fallos que ha cerrado ya está siendo utilizado en ataques.

El error se encuentra en un controlador del núcleo de Windows que gestiona las operaciones de sockets de red. Un atacante que ya tenga código ejecutándose en una máquina puede usarlo para escalar privilegios a SYSTEM. Ese parche es el primero que debes aplicar.

El fallo se identifica como CVE-2026-68820 (puntuación CVSS: 7.0) y es el único de la versión de este mes que Microsoft marca como bajo explotación activa. Su aprovechamiento depende de provocar una condición de carrera en el controlador. Microsoft no ha atribuido públicamente la explotación, pero Check Point Research afirma que Lazarus utilizó este zero-day en su campaña Operation Dream Job.

Otros cuatro fallos de la versión no requieren nada de la víctima: ni cuenta, ni contraseña, ni clics. Afectan a Windows DNS Server, Windows Deployment Services, la implementación de Microsoft del protocolo de transporte QUIC y el High Performance Computing (HPC) Pack, y cada uno tiene una puntuación CVSS de 9.8. Ninguno fue marcado como explotado en el momento del lanzamiento de las actualizaciones.

Contando de forma independiente, la Zero Day Initiative sitúa el lanzamiento en 398 nuevos CVE, 62 de ellos calificados como Críticos. Esta cifra muestra el tamaño del lanzamiento; el estado de explotación y el alcance deciden el orden de los parches.

La versión también cierra la parte de ejecución remota de código (RCE) de una cadena de SharePoint cuyo bypass de autenticación se solucionó en julio. Si tienes granjas de SharePoint locales, debes tener instaladas ambas actualizaciones.

Check Point Research señaló que el CVE-2026-68820 es un error de "use-after-free" en afd.sys, el controlador de funciones auxiliares para WinSock y un componente del lado del núcleo de la red de Windows.

El error es de escalada de privilegios: el atacante necesita ejecutar código en la máquina primero y luego puede usarlo para llegar a SYSTEM. Microsoft lo marca como explotado activamente, lo que lo pone por delante de los cuatro RCE de servidor 9.8 a pesar de tener una puntuación más baja.

No se requiere nada de la víctima

Los cuatro fallos de ejecución remota de código no autenticados son los que debes priorizar después del error del controlador explotado, ya que pueden dar a un atacante código en un servidor sin necesidad de una cuenta o acción del usuario.

* CVE-2026-62878, Windows DNS Server. Un desbordamiento de búfer basado en pila accesible remotamente sin autenticación ni interacción del usuario. La Zero Day Initiative describe la condición como "wormable" (capaz de propagarse como un gusano), aunque Microsoft califica la explotación como menos probable.
* CVE-2026-62893, Windows Deployment Services. Un fallo remoto accesible a través del manejo de TFTP del servicio sin autenticación ni interacción del usuario.
* CVE-2026-6815, Microsoft QUIC. Un fallo de ejecución de código remoto y no autenticado que no requiere interacción del usuario.
* CVE-2026-59124, HPC Pack. Tiene la misma puntuación de 9.8 pero está calificado como Importante en lugar de Crítico porque HPC Pack no se instala por defecto. Microsoft califica la explotación como más probable.

HPC Pack no se instala por defecto, y la prioridad práctica de los otros tres depende igualmente de si el servicio vulnerable está presente y es accesible en tu entorno. Por lo tanto, el inventario de servicios y la accesibilidad importan junto con el estado de explotación al establecer la prioridad del parche.

Se cierra una cadena de sharepoint

Agosto también completa una solución de SharePoint en dos partes que comenzó en julio.

Rapid7 Labs informó a Microsoft el 18 de mayo sobre una cadena de exploits que combinaba un bypass de autenticación con una vulnerabilidad de ejecución de código separada para lograr un RCE no autenticado contra SharePoint local. Microsoft confirmó dos días después que planeaba dividir la remediación entre los ciclos de actualización de julio y agosto.

Julio solucionó la primera parte, CVE-2026-55040, un bypass de autenticación Crítico con una puntuación de 9.1. Rapid7 descubrió que el fallo permite que un atacante remoto no autenticado asuma la identidad de un usuario o administrador de un sitio de SharePoint si conoce la identidad que desea suplantar. Agosto proporciona la solución para el componente RCE, identificado como CVE-2026-63520.

La distinción es importante: el CVE-2026-63520 es la parte de ejecución de código de la cadena, no la condición de no autenticación por sí misma. La unión del RCE con el CVE-2026-55040 fue lo que produjo el RCE no autenticado de Rapid7.

Rapid7 afirma que parchear el CVE-2026-55040 rompe la cadena demostrada, por lo que una vez aplicada la solución de julio, esa ruta ya estaba cerrada; la actualización de agosto ahora cierra también el componente RCE.

Pon el CVE-2026-68820 al principio para los sistemas Windows donde un atacante ya tenga código ejecutándose y pueda usar el fallo para llegar a SYSTEM. Prioriza los servicios expuestos de DNS, WDS, QUIC y HPC después de esto, y luego confirma que las granjas de SharePoint locales tengan tanto el parche de bypass de autenticación de julio como el de RCE de agosto.

Fuente:
THN