Microsoft ha lanzado actualizaciones de seguridad para una vulnerabilidad de Windows Active Directory que permite a un atacante autorizado ejecutar código a través de una red.

Identificada como CVE-2026-119948, el fallo fue revelado el 10 de noviembre de 2026 y afecta a múltiples versiones de Windows tanto de escritorio como de servidor. Microsoft lo califica como Importante, con una puntuación base CVSS 3.1 de 7.5.

El registro de la CVE identifica la debilidad como un desbordamiento de búfer basado en la pila. Su explotación requiere privilegios bajos y ninguna interacción del usuario, pero la complejidad del ataque es alta. Esto significa que el fallo no se describe como un ataque no autenticado que funcione contra cualquier sistema Windows accesible.

Un desbordamiento de búfer basado en la pila ocurre cuando un programa escribe más datos en la memoria de la pila de los que tiene asignados. Esto puede sobrescribir datos adyacentes y, bajo ciertas condiciones, alterar la ejecución del programa. En este caso, Microsoft confirma que el resultado puede incluir la capacidad de ejecutar código remoto.

Microsoft no ha revelado la función afectada, la solicitud de red exacta necesaria ni un método de ataque funcional en el aviso suministrado.

Su explicación sobre la calificación de alta complejidad indica que deben existir condiciones específicas, como configuraciones o ajustes de protocolo particulares. Por lo tanto, debes evitar asumir que el acceso a la red y las credenciales válidas garanticen por sí solas una explotación exitosa.

Vulnerabilidad de RCE en Windows Active Directory

La evaluación CVSS enumera un alto impacto potencial en la confidencialidad, integridad y disponibilidad. Por lo tanto, un ataque exitoso podría afectar a la información protegida, cambiar datos o interrumpir el sistema vulnerable. Sin embargo, el registro publicado no establece que la explotación otorgue automáticamente privilegios de SYSTEM o el control de un dominio completo.

En el momento del lanzamiento, Microsoft informó que no había explotación conocida ni divulgación pública previa. Evaluó la explotación como poco probable y listó la madurez del código de explotación como no probada. Un investigador anónimo recibió el crédito por informar la vulnerabilidad.

Los productos afectados incluyen Windows Server 2016, 2019, 2022 y 2025, incluyendo las instalaciones de Server Core listadas. También se incluyen las versiones 1607, 1809, 21H2 y 22H2 de Windows 10, junto con las versiones 23H2 a 26H2 de Windows 11. La cobertura de arquitectura varía según la versión.

La lista de actualizaciones suministrada vincula Windows Server 2022 con KB5131090, Server 2019 con KB5131085 y Server 2016 con KB5131291. Windows 11 versión 23H2 utiliza KB5131087, mientras que la versión 26H1 utiliza KB5132059. Debes revisar el paquete para cada sistema en lugar de aplicar una única actualización en todas las versiones.

Esta revelación sigue a informes anteriores sobre vulnerabilidades de omisión de funciones de seguridad de Active Directory y un fallo independiente de escalada de privilegios en Active Directory Domain Services. Estos son problemas distintos, no evidencia de una cadena de exploits que involucre la nueva RCE.

Microsoft también reveló la CVE-2026-105559, una vulnerabilidad Importante de denegación de servicio de Active Directory con una puntuación base de 6.5. El aviso suministrado describe un ataque de red que requiere privilegios bajos, baja complejidad y ninguna interacción del usuario.

Las organizaciones deben revisar ambos avisos, desplegar las actualizaciones oficiales aplicables y verificar la instalación en los sistemas afectados.