Microsoft ha parcheado una vulnerabilidad de Windows Server que permite a un atacante adyacente a la red provocar la caída de un servidor mediante una respuesta de remisión del Sistema de Archivos Distribuido (DFS) manipulada. Identificada como CVE-2026-70111, el fallo afecta a Windows Server 2019, 2022 y 2025.

Investigadores de Corelight informaron del problema tras encontrarlo mientras probaban las interfaces de Microsoft Remote Procedure Call (MS-RPC) y DFS. La empresa afirmó que no había visto indicios de explotación activa cuando reveló el fallo el 13 de octubre de 2026.

La vulnerabilidad plantea un riesgo de denegación de servicio, no de toma de control del servidor. Un atacante necesita acceso a la red para hacer que el objetivo se conecte a un servidor SMB malicioso, que devuelve una remisión de DFS malformada que provoca la caída del servicio, un proceso que, según Corelight, puede tardar segundos.

Windows utiliza DFS para dirigir a los usuarios y sistemas a archivos almacenados en una red. Cuando un Windows Server resuelve una ruta de DFS, un componente llamado mup.sys solicita información de remisión a través de SMB. Corelight descubrió que una respuesta manipulada puede alcanzar una ruta de código vulnerable mientras el controlador procesa una remisión de DFS.

La causa reportada es la falta de una comprobación de longitud. En una remisión NameList particular, un desplazamiento puede apuntar a una cadena vacía. El código del servidor no rechaza ese valor antes de procesarlo y el kernel puede incurrir en una referencia de memoria inválida. El resultado es una pantalla azul y un reinicio inesperado.

Corelight reprodujo la caída 11 de 11 veces en Windows Server 2022 y 3 de 3 veces en Server 2019. Estos resultados muestran que el problema era repetible en el laboratorio de los investigadores.

Fallo de día cero en Microsoft Windows Server

Sin embargo, esto no muestra con qué frecuencia lo utilizan las organizaciones. Corelight señaló que Windows 10 no se ve afectado porque conserva comprobaciones que no están presentes en las versiones afectadas de Server.

Windows Server puede reiniciarse automáticamente tras un fallo del kernel, lo que puede limitar la duración de una sola interrupción. No obstante, un atacante que pueda activar el fallo repetidamente podría mantener el sistema fuera de línea.

El impacto depende de qué servidores sean accesibles y el objetivo del ataque. Las caídas repetidas de sistemas importantes, como los controladores de dominio, podrían interrumpir servicios clave en toda una organización.

Corelight indica que los reinicios pueden dejar pocas evidencias más allá de los ID de evento 41 y 6008 del registro del sistema de Windows, que indican un apagado inesperado sin explicar la causa, lo que hace que la monitorización de la red sea esencial para identificar la actividad antes y después de la caída.

La actualización de seguridad de octubre de 2026 de Microsoft, publicada el 13 de octubre, soluciona la CVE-2026-70111 en Windows Server 2019, 2022 y 2025. Debes aplicar la actualización correspondiente y priorizar los servidores que utilicen activamente DFS.

Corelight te aconseja monitorizar el tráfico SMB interno, o "este-oeste", entre servidores y controladores de dominio, y no solo el tráfico que cruza el perímetro.

Sus investigadores afirman que los registros de conexión de Zeek pueden mostrar sesiones que se quedan en silencio durante una caída y actividad de restablecimiento después de que el servidor se recupere. Un grupo repentino de estados de conexión como S1, RSTR o RSTRH que involucren al mismo servidor podría ameritar una investigación. Sin embargo, esos indicios por sí solos no prueban la explotación.

Para obtener más información sobre la coerción de autenticación de Windows, consulta la cobertura de los ataques de coerción de autenticación de Windows.

Su informe anterior sobre vulnerabilidades de denegación de servicio de Windows ofrece contexto relacionado sobre los riesgos de disponibilidad del servicio. La CVE-2026-70111 muestra cómo una comprobación de entrada pasada por alto en un controlador del kernel puede convertir una respuesta de red en una caída del servidor.

Parchear los sistemas afectados y monitorizar las transacciones SMB internas son pasos clave para reducir el riesgo. Los hallazgos técnicos y los detalles del parche se describen en la divulgación de Corelight.