Se ha publicado un código de prueba de concepto (PoC) para la vulnerabilidad CVE-2026-47301, un fallo crítico de ejecución remota de código que afecta a Microsoft Configuration Manager (SCCM). Este exploit permitiría que un usuario de dominio con pocos privilegios obtenga ejecución a nivel de SYSTEM en un servidor de sitio primario, lo que representa un riesgo grave de toma de control empresarial.

Ya está disponible públicamente el código de explotación de prueba de concepto para CVE-2026-47301, una vulnerabilidad crítica de ejecución remota de código que afecta a Microsoft Configuration Manager (SCCM).

La cadena de explotación revelada podría permitir que un usuario de dominio con pocos privilegios obtenga una ejecución a nivel de SYSTEM en un Servidor de Sitio Primario de Configuration Manager, lo que crea un riesgo potencialmente grave de toma de control empresarial.

El investigador de seguridad Omri Baso publicó un repositorio de prueba de concepto que incluye el código fuente, archivos del proyecto, un archivo CAB manipulado y una versión compilada. El investigador describió el problema como una cadena de explotación de múltiples etapas en lugar de un solo fallo.

Según la revelación, CVE-2026-47301 combina un control de acceso roto, salto de ruta (path traversal) durante la extracción de CAB, capacidades de escritura de archivos arbitrarios, omisión de la verificación de certificados y secuestro de DLL (DLL hijacking).

Juntas, estas debilidades pueden permitir que un atacante coloque archivos controlados por él en el directorio de instalación de Configuration Manager y haga que un servicio de SCCM privilegiado los cargue.

Explotación pública lanzada para el fallo de Microsoft SCCM

El ataque tiene como objetivo el servicio SMS_EXECUTIVE, un componente central de SCCM que se ejecuta con privilegios elevados. La investigación publicada afirma que se puede utilizar un archivo CAB malicioso para escribir archivos DLL fuera de su directorio de extracción previsto mediante secuencias de salto de ruta.

Los archivos se colocan finalmente en el directorio bin\X64 de Configuration Manager, donde el servicio puede cargarlos. El exploit utiliza un enfoque de proxy de DLL que involucra a adsource.dll y adsource_original.dll.

La DLL maliciosa está diseñada para ejecutar el código del atacante mientras reenvía la funcionalidad esperada a la librería original, reduciendo la probabilidad de que el servicio de SCCM se bloquee.

El investigador observó que la carga de la DLL pertinente puede ocurrir en un horario recurrente, lo que significa que la explotación puede no producir resultados visibles inmediatos.

Según se informa, un ataque exitoso requiere identificar el Servidor de Sitio Primario de SCCM. Aunque esta información puede no estar publicada directamente en Active Directory, el investigador dijo que puede inferirse revisando los permisos en el contenedor de Gestión del Sistema.

Las cuentas de computadora de dominio a las que se les ha concedido el Control Total o permisos GenericAll sobre ese contenedor pueden indicar servidores de sitio de Configuration Manager.

La publicación de material de explotación funcional aumenta significativamente el riesgo para las organizaciones que no han aplicado las actualizaciones de seguridad de Microsoft.

Los servidores de SCCM son objetivos especialmente atractivos porque gestionan el despliegue de software, la configuración de endpoints y las operaciones administrativas en entornos Windows empresariales.

La ejecución de código a nivel de SYSTEM en un Servidor de Sitio Primario podría proporcionar a los atacantes una plataforma poderosa para el movimiento lateral, el despliegue de malware, el robo de credenciales o actividades de ransomware.

El archivo CAB de demostración publicado habilita y modifica la cuenta de Administrador RID 500 integrada como parte de su comportamiento de prueba de concepto.

Como defensor, debes tratar la presencia de cambios inesperados en esta cuenta, DLLs sospechosas en el directorio de instalación de Configuration Manager o actividad inusual relacionada con la carga de archivos CAB como indicadores de alta prioridad para investigar.

Si tu organización utiliza Microsoft Configuration Manager, debes revisar inmediatamente el aviso de Microsoft para CVE-2026-47301, identificar los Servidores de Sitio Primarios expuestos o no parcheados y aplicar la actualización de seguridad correspondiente.

También deberías restringir el acceso a las interfaces de gestión de SCCM, auditar los permisos en el contenedor de Gestión del Sistema de Active Directory y supervisar el servicio SMS_EXECUTIVE en busca de eventos anormales de carga de DLL. La disponibilidad pública del código de explotación convierte esto de un problema de gestión de parches en una preocupación urgente de detección y respuesta.

Fuentes:
https://cybersecuritynews.com/microsoft-sccm-vulnerability-poc-release/