Ir al contenido principal
Imagen del blog de CTI
Tema de actualidad

Vulnerabilidad crítica de ejecución remota de código (RCE) en Netlogon en los controladores de dominio (CVE-2026-41089)

Una vulnerabilidad crítica de ejecución remota de código sin autenticación en Windows Netlogon (CVE-2026-41089, CVSS 9.8) permite a un atacante remoto ejecutar código con privilegios de SYSTEM en un controlador de dominio. Aplique las actualizaciones de seguridad de « May 2026 » a todos los controladores de dominio durante la misma ventana de mantenimiento.

La actualización de «Patch Tuesday» de Microsoft « May 12, 2026» ( ) solucionó una vulnerabilidad crítica de ejecución remota de código en Windows Netlogon (CVE-2026-41089): un desbordamiento de búfer basado en la pila (CWE-121) con una puntuación CVSS de 9.8, descubierta internamente por el equipo de Investigación y Protección contra Ataques de Windows (WARP) de Microsoft. Microsoft la calificó como «poco probable» que fuera objeto de explotación en el momento de su publicación.

El May 29, 2026, el Centro de Ciberseguridad de Bélgica (CCB) advirtió de que los atacantes estaban aprovechando la vulnerabilidad CVE-2026-41089 en entornos reales e instó a aplicar los parches de inmediato. Microsoft afirma que no dispone de pruebas de que se haya producido ningún ataque, pero recomienda, no obstante, instalar la actualización, y varios proveedores informan de que está circulando código público de prueba de concepto.

En qué consiste la vulnerabilidad

Netlogon es el servicio de Windows encargado de la autenticación dentro de un dominio. CVE-2026-41089 es un desbordamiento de búfer basado en pila que se produce en la forma en que el servicio Netlogon gestiona una solicitud de red manipulada: una solicitud CLDAP malformada dirigida al puerto UDP 389 provoca el desbordamiento de un búfer de pila de tamaño fijo mientras el servicio genera su respuesta. El código afectado se ejecuta dentro del proceso LSASS en el controlador de dominio, por lo que un atacante no autenticado que pueda acceder al servicio a través de la red puede corromper la memoria y, en determinadas condiciones, ejecutar código como la cuenta SYSTEM —heredando, de hecho, la identidad completa del controlador de dominio— hasta llegar a una toma de control total de Active Directory. Los intentos fallidos suelen provocar un fallo en LSASS y el reinicio del controlador de dominio, lo que da lugar a una situación de denegación de servicio en el nivel de directorio. En relación con el marco MITRE ATT&CK, las técnicas pertinentes son la T1190, la T1210 y la T1068.

Aspectos clave que debe tener en cuenta

  • Preautenticación y accesibilidad desde la red: no se requieren credenciales, acceso local ni interacción por parte del usuario.
  • La superficie expuesta está formada por los controladores de dominio de Windows Server a los que se puede acceder a través de la red mediante el servicio Netlogon (CLDAP, UDP/389).
  • Si la operación tiene éxito, se produce la ejecución de código a nivel de SISTEMA en LSASS; si falla, lo habitual es que LSASS se bloquee y se reinicie el controlador de dominio.
  • Se ven afectadas todas las versiones compatibles de Windows Server configuradas como controladores de dominio (del servidor 2012 al 2025). Las actualizaciones de seguridad de Microsoft abarcan las versiones compatibles (Server 2012 y posteriores); las versiones antiguas que ya no reciben soporte, como Server 2008 y R2 , también son vulnerables, pero dependen de micropatches de terceros (por ejemplo, 0patch/Acros) en lugar de las actualizaciones oficiales de Microsoft.

Cómo puede ayudarle Tanium

de Tanium Comply: Comply realiza evaluaciones de vulnerabilidades utilizando la biblioteca de vulnerabilidades de Tanium, y asocia las detecciones a los CVE y a las puntuaciones CVSS. Realice una evaluación y filtre los resultados para el CVE-2026-41089 a fin de determinar qué sistemas aún necesitan la actualización « May 2026 »; dé prioridad primero a los controladores de dominio y, a continuación, al resto del parque de servidores Windows Server. Confirme la cobertura de la biblioteca para este CVE, ya que no todos los CVE son detectables mediante las evaluaciones de Comply.

de parches de Tanium: Aplique los parches a todos los controladores de dominio a la vez; la aplicación parcial de parches deja un estado vulnerable en el que los atacantes se centran en los controladores de dominio a los que aún no ha llegado. Elabore una lista de parches limitada a las actualizaciones de « May 2026 » para sus versiones de Windows Server, diríjase al grupo de equipos de controladores de dominio y realice la implementación en una única ventana de mantenimiento coordinada. Aplique la actualización de seguridad acumulativa « May 2026 » correspondiente a sus versiones de Windows Server; para las versiones actuales de Windows Server y Windows 11 , esta se distribuyó como «KB5089549» (versiones del sistema operativo 26200.8457 y 26100.8457). Compruebe cuál es el artículo de la base de conocimientos (KB) correcto para cada versión del sistema operativo consultando la Guía de actualizaciones de seguridad de Microsoft para CVE-2026-41089 en y, a continuación, vuelva a ejecutar la evaluación de Comply para comprobar que el problema se ha resuelto.

Referencias