Microsoft ha lanzado actualizaciones de seguridad para corregir la vulnerabilidad CVE-2026-69485, calificada como importante. Este fallo de ejecución remota de código afecta al Cliente de Escritorio Remoto de Windows y podría permitir que un atacante autenticado con privilegios bajos ejecute código en un servidor afectado mediante el envío de una solicitud de red especialmente diseñada.

Microsoft ha lanzado actualizaciones de seguridad para CVE-2026-69485, una vulnerabilidad de ejecución remota de código calificada como "Importante" que afecta al Cliente de Escritorio Remoto de Windows.

El fallo podría permitir que un atacante autenticado con bajos privilegios ejecute código en un servidor afectado mediante el envío de una solicitud de red especialmente diseñada.

La vulnerabilidad fue revelada el 8 de septiembre de 2026 y se rastrea como CVE-2026-69485. Microsoft le asignó una puntuación base CVSS 3.1 de 8.8, mientras que la puntuación temporal es de 7.7.

El problema tiene un vector de ataque de red, baja complejidad de ataque, requiere bajos privilegios y no necesita interacción del usuario. Microsoft señaló que el fallo se deriva del uso de un recurso no inicializado por parte del Cliente de Escritorio Remoto.

Los recursos no inicializados pueden hacer que el software utilice memoria, manejadores u otros objetos del sistema antes de que estén debidamente preparados. En este caso, un atacante puede activar la condición defectuosa a través de una solicitud de red diseñada y obtener la capacidad de ejecutar código.

Vulnerabilidad del Cliente de Escritorio Remoto de Windows

Los fallos de ejecución remota de código son sumamente significativos porque pueden dar a los atacantes el control sobre los sistemas vulnerables. Una explotación exitosa podría afectar la confidencialidad, integridad y disponibilidad del dispositivo objetivo.

Dependiendo de los permisos disponibles en la cuenta comprometida, un atacante podría acceder a datos sensibles, modificar archivos o configuraciones del sistema, instalar herramientas adicionales o interrumpir servicios.

Según el aviso de Microsoft, la explotación requiere que el atacante se autentique primero con un acceso de bajo nivel a un servidor afectado. Luego, el atacante podría enviar una solicitud especialmente diseñada para ejecutar código en dicho servidor.

El ataque no requiere que el usuario haga clic en un enlace, abra un archivo o apruebe un aviso, lo que reduce las oportunidades para que tú y otros defensores lo detengan basándose únicamente en controles de concienciación del usuario.

La evaluación inicial de Microsoft establece que la vulnerabilidad no fue revelada públicamente antes de la actualización de seguridad y no se ha detectado su explotación activa.

La compañía califica la explotación como "Menos Probable" en el momento de la publicación. Sin embargo, debes tratar este hallazgo como una prioridad, ya que el lanzamiento de parches públicos puede ayudar a los actores de amenazas a estudiar la vulnerabilidad y desarrollar técnicas de explotación funcionales.

Los productos afectados incluyen Windows Server 2016, Windows Server 2019, Windows Server 2022 y Windows Server 2025, incluyendo las instalaciones de Server Core.

Microsoft también enumeró varias ediciones de cliente de Windows, incluyendo las versiones 1607, 1809, 21H2 y 22H2 de Windows 10, junto con las versiones 23H2, 24H2, 25H2 y 26H1 de Windows 11 para sistemas x64 y ARM64 compatibles.

Debes desplegar las actualizaciones de seguridad de septiembre de Microsoft lo antes posible.

Tu equipo de seguridad también debería revisar la exposición del Escritorio Remoto, restringir el acceso RDP a redes confiables, aplicar el principio de acceso de menor privilegio y monitorear la autenticación y los registros de Escritorio Remoto en busca de actividad inusual. Microsoft acreditó a los investigadores de seguridad yhw y txz por informar la vulnerabilidad a través de una divulgación coordinada.