La vulnerabilidad CVE-2026-68820 en el componente Windows Ancillary Function Driver for WinSock (afd.sys) está siendo explotada activamente por atacantes. Según el boletín de Microsoft, un bug de tipo use-after-free permite a un atacante autenticado escalar privilegios de forma local. La vulnerabilidad se ha incluido en el catálogo CISA Known Exploited Vulnerabilities con fecha límite de corrección el 25 de agosto de 2026 — este plazo ya ha vencido. Todas las organizaciones que utilizan Windows deben asegurarse de que la actualización correspondiente esté instalada.
Detalles técnicos
La vulnerabilidad pertenece a la clase use-after-free, un error de gestión de memoria en el que un programa sigue accediendo a una región de memoria después de haberla liberado. En este caso, el problema afecta al controlador afd.sys, un componente del sistema Windows que proporciona el funcionamiento de la pila de red WinSock. Para explotarla, el atacante necesita acceso local al sistema y una cuenta autenticada, tras lo cual puede escalar sus privilegios.
Los metadatos del boletín de Microsoft contienen los siguientes indicadores: la vulnerabilidad está marcada como explotada y el estado para las versiones actuales del software figura como «Exploitation Detected». Según Microsoft, no hubo divulgación pública antes de la publicación del parche (Publicly Disclosed: No). También está disponible la entrada en la NVD.
Cabe señalar que en los datos proporcionados faltan la puntuación CVSS, la lista de versiones de Windows afectadas y el nivel de gravedad según la clasificación de Microsoft. Las versiones y configuraciones concretas vulnerables deben consultarse en el boletín completo del proveedor.
Estado de la explotación y plazos
CVE-2026-68820 se añadió al catálogo CISA KEV el 11 de agosto de 2026 con una fecha límite de corrección fijada para el 25 de agosto de 2026. En este momento ese plazo ha vencido, lo que significa que cualquier organización sujeta a los requisitos de CISA (en primer lugar, las agencias federales de EE. UU., así como las organizaciones que toman KEV como lista prioritaria) ya estaba obligada a instalar la corrección. Los sistemas sin parche se encuentran en una situación de riesgo fuera de plazo.
No hay información disponible sobre la atribución de los ataques, campañas concretas, indicadores de compromiso o técnicas MITRE ATT&CK utilizadas. Se desconoce qué grupos están explotando la vulnerabilidad y en qué contexto — si para el establecimiento inicial, el movimiento lateral u otros fines.
Contexto: afd.sys como objetivo recurrente
El controlador afd.sys es un objetivo atractivo para los atacantes: funciona a nivel de kernel, está presente en todas las instalaciones de Windows y procesa las operaciones de red. La escalada de privilegios a través de una vulnerabilidad en un componente de este tipo permite que un atacante que ya haya obtenido acceso inicial al sistema (por ejemplo, mediante phishing o explotando una aplicación web) pase de privilegios limitados al control total del host. Ya hemos analizado esta vulnerabilidad en el contexto de Patch Tuesday de agosto de 2026, y también la hemos mencionado en el material sobre la elusión del parche de Microsoft Defender.
Evaluación del impacto
Una vulnerabilidad de escalada de privilegios con explotación confirmada representa una amenaza grave para cualquier organización que utilice Windows. Los principales riesgos son:
- Escalada del ataque: un atacante que haya obtenido acceso inicial con privilegios limitados puede utilizar CVE-2026-68820 para obtener privilegios de nivel SYSTEM, lo que abre la puerta a la completa compromisión del host.
- Cadenas de exploits: las vulnerabilidades de escalada de privilegios en el kernel suelen utilizarse junto con vulnerabilidades de ejecución remota de código, amplificando el efecto global del ataque.
- Amplia superficie de ataque: afd.sys está presente en las versiones de servidor y cliente de Windows, lo que potencialmente afecta a infraestructuras de cualquier escala.
Recomendaciones
- Instale la actualización de seguridad para CVE-2026-68820 desde el boletín de Microsoft. El plazo de CISA KEV ha expirado, el parche debe aplicarse de inmediato.
- Compruebe el estado de instalación de la actualización en todos los hosts Windows de la infraestructura, incluidos servidores, estaciones de trabajo y máquinas virtuales.
- Refuerce la monitorización de eventos relacionados con la escalada de privilegios: accesos anómalos a afd.sys, creación de procesos con privilegios SYSTEM desde contextos atípicos.
- Limite el acceso local: dado que la explotación requiere acceso local autenticado, minimizar el número de cuentas y aplicar el principio de privilegios mínimos reduce la probabilidad de uso de la vulnerabilidad.
CVE-2026-68820 es un zero-day confirmado con explotación activa y un plazo de CISA KEV ya vencido. La ausencia de atribución pública no reduce su prioridad: instalar el parche del boletín de Microsoft es una acción obligatoria y urgente para todos los sistemas basados en Windows.
