Microsoft ha lanzado actualizaciones de seguridad para cuatro vulnerabilidades del Cliente de Escritorio Remoto de Windows que podrían permitir que los atacantes ejecuten código a través de conexiones de red o acceso local.

Publicados el 10 de noviembre de 2026, los fallos implican errores de manejo de memoria y un problema de temporización. Tres tienen rutas de ataque de red, mientras que el cuarto requiere un atacante con acceso local ya existente, una diferencia importante cuando evalúes tu exposición.

El fallo con la puntuación más alta, CVE-2026-119934, tiene una puntuación CVSS de 8.8 y una calificación de severidad "Importante". Microsoft lo describe como un error de "double-free" (liberación doble), lo que significa que el cliente libera la misma área de memoria más de una vez. Esto puede dañar el manejo de la memoria y permitir que un atacante ejecute código cuando el cliente afectado procese una respuesta de un servidor malicioso.

Un atacante necesitaría alojar ese servidor y persuadirte para que te conectes. No se requiere acceso previo a ninguna cuenta, pero es necesaria la interacción del usuario. Este no es un ataque donde alguien pueda simplemente enviar tráfico a cualquier computadora con Windows y ganar el control. El componente expuesto es el cliente de Escritorio Remoto que realiza la conexión, lo que hace que la elección del servidor remoto sea central en esta ruta de ataque.

CVE-2026-119858 implica un desbordamiento de búfer basado en el montón (heap) que permite a un atacante no autorizado ejecutar código a través de una red. El fallo se refiere a datos que exceden el espacio reservado para ellos en la memoria.

El aviso de Microsoft indica que la explotación depende de condiciones específicas, como la configuración de los protocolos. Estos requisitos limitan la probabilidad de ataques masivos, pero no eliminan la necesidad de que actualices los clientes afectados.

La condición de carrera, CVE-2026-95964, tiene una puntuación CVSS de 7.5. Afecta a la forma en que las operaciones del cliente comparten un recurso sin la sincronización adecuada. Una explotación exitosa requiere ganar una condición de carrera, donde las operaciones ocurren en un orden o tiempo particular. Microsoft indica que se requiere interacción del usuario y califica la explotación como improbable, reflejando la dificultad añadida de activar de forma fiable este fallo de ejecución de código de red.

Condiciones de Ataque del Cliente de Escritorio Remoto

El cuarto problema, CVE-2026-119390, necesita un tratamiento aparte a pesar de su título de Ejecución Remota de Código. La descripción técnica de Microsoft identifica un desbordamiento de búfer basado en el montón local que requiere privilegios bajos, sin interacción adicional del usuario. Su puntuación CVSS es de 7.8. Por lo tanto, informarlo como un ataque de red no autenticado sería incorrecto respecto al acceso necesario para explotarlo.

Los ataques del lado del cliente son una preocupación establecida. Anteriormente se cubrió una vulnerabilidad del Cliente de Escritorio Remoto que involucraba un servidor malicioso y una debilidad subyacente diferente. Ese caso anterior proporciona un contexto útil, pero no es evidencia de que los fallos recién revelados compartan su método de ataque o hayan sido ya utilizados contra organizaciones.

La ingeniería social también hace que el paso de la conexión sea relevante. Campañas anteriores de phishing de RDP malicioso utilizaron archivos de conexión enviados por correo electrónico para dirigir a las víctimas hacia servidores controlados por el atacante. Aquellas campañas abusaban del uso compartido de recursos remotos en lugar de estos nuevos fallos de memoria. La conexión es práctica, no una prueba de una campaña compartida: los atacantes ya tienen métodos para persuadirte para que abras sesiones remotas no deseadas.

Sistemas Windows Afectados

El aviso de CVE-2026-119934 de Microsoft enumera las versiones afectadas de Windows 10, Windows 11 y Windows Server. Deberías revisar la tabla de productos de cada vulnerabilidad en lugar de asumir que una sola actualización cubre cada instalación. La tabla de CVE-2026-119390 también incluye Windows App Client para Windows Desktop, con la versión 2.0.1489.0 listada como la compilación corregida para ese producto.

Tus equipos de seguridad deberían desplegar las actualizaciones correspondientes y verificar la instalación en los dispositivos de los empleados y los sistemas administrativos que realicen conexiones de Escritorio Remoto. Microsoft informó que no hubo explotación al momento de la publicación para CVE-2026-119934, CVE-2026-119390 y CVE-2026-95964.