Microsoft ha publicado un aviso de seguridad sobre la vulnerabilidad CVE-2026-85880, un desbordamiento de heap (heap-based buffer overflow) en el componente Windows Advanced Local Procedure Call (ALPC). La vulnerabilidad permite a un atacante local autenticado realizar una escalada de privilegios en el sistema. Según los metadatos de Microsoft, la explotación de la vulnerabilidad ya se ha observado. ALPC es un mecanismo interno de comunicación entre procesos del kernel de Windows, utilizado prácticamente por todos los servicios del sistema, lo que hace que esta vulnerabilidad sea potencialmente peligrosa para un amplio espectro de sistemas Windows. Se recomienda a los administradores comprobar la disponibilidad de actualizaciones de seguridad a través de Windows Update y aplicarlas con carácter prioritario.
Detalles técnicos
La vulnerabilidad se clasifica como CWE-122 (Heap-based Buffer Overflow), es decir, un desbordamiento de búfer en la región de heap. Según la GitHub Advisory Database, la severidad se evalúa como High con una puntuación base CVSS v3 7.8. Esto indica un nivel de peligro alto, aunque no crítico: para su explotación se requiere acceso local y autenticación en el sistema.
ALPC (Advanced Local Procedure Call) es un mecanismo de comunicación entre procesos (IPC) de alto rendimiento que funciona a nivel del kernel de Windows. Se utiliza para el intercambio de mensajes entre procesos y constituye la base de muchos servicios del sistema, incluidos RPC, COM y el programador de tareas. Un desbordamiento de heap en este componente permite a un atacante sobrescribir estructuras de datos críticas en la memoria y lograr la ejecución de código con privilegios elevados.
Parámetros clave de la vulnerabilidad:
- Identificador: CVE-2026-85880
- Tipo: escalada de privilegios (Elevation of Privilege)
- Clase de vulnerabilidad: CWE-122, desbordamiento de búfer en el heap
- CVSS v3: 7.8 (High)
- Vector de ataque: local, requiere autenticación
- Estado de explotación: Microsoft informa de explotación detectada
- Divulgación pública antes del parche: no (según Microsoft)
Es importante señalar que, en el momento de la publicación, ni en el aviso de Microsoft ni en la entrada de GitHub Advisory Database se indican las versiones concretas de Windows afectadas ni los identificadores de los parches. Esto dificulta la evaluación precisa del alcance del problema. La entrada en GitHub Advisory Database está fechada el 8 de septiembre de 2026.
Estado de explotación y evaluación de la amenaza
Los metadatos del aviso de Microsoft contienen la marca «Exploited: Yes» y el estado «Exploitation Detected» para las versiones actuales del software. Sin embargo, debe tenerse en cuenta que, por el momento, no ha sido posible obtener confirmación independiente de explotación activa por otras fuentes: el catálogo CISA KEV no estaba disponible para su consulta en el momento del análisis. No hay información sobre grupos específicos, campañas o indicadores de compromiso (IOC) en las fuentes disponibles.
No obstante, el mero hecho de que Microsoft marque la vulnerabilidad como explotada es una señal seria. Las vulnerabilidades de escalada de privilegios en componentes del kernel de Windows tradicionalmente tienen un alto valor para los atacantes: se utilizan en la fase de post-explotación para pasar de un acceso limitado a un control total del sistema. Anteriormente ya hemos analizado vulnerabilidades críticas en productos de Microsoft, por ejemplo, la vulnerabilidad de ejecución remota de código en Microsoft Entra ID y la elusión del parche de Microsoft Defender, lo que apunta a un flujo constante de problemas de seguridad graves en el ecosistema de Windows.
Evaluación del impacto
ALPC es uno de los mecanismos fundamentales del kernel de Windows, implicado en el funcionamiento de prácticamente cada proceso. La vulnerabilidad afecta a cualquier organización que utilice sistemas Windows, pero corren un mayor riesgo:
- Entornos de servidor: controladores de dominio, servidores de archivos, servidores de aplicaciones, donde una escalada de privilegios puede llevar a la compromisión de toda la infraestructura de Active Directory
- Estaciones de trabajo con acceso multiusuario: servidores terminales y entornos de escritorios virtuales (VDI), donde un usuario autenticado con privilegios limitados puede obtener el control del sistema
- Entornos que permiten la ejecución de código por usuarios sin privilegios, incluidas las plataformas de desarrollo y pruebas
Si la explotación tiene éxito, un atacante que ya disponga de acceso limitado al sistema puede obtener privilegios de nivel SYSTEM, lo que abre la puerta a la instalación de malware, la extracción de credenciales, el movimiento lateral por la red y la desactivación de las medidas de protección.
Recomendaciones
Teniendo en cuenta el informe de Microsoft sobre explotación detectada y la puntuación CVSS 7.8, se recomienda el siguiente orden de actuación:
- Comprobar la disponibilidad de actualizaciones de seguridad a través de Windows Update, WSUS o SCCM. Dado que los identificadores concretos de los parches aún no se han publicado en las fuentes disponibles, conviene seguir de cerca las actualizaciones en la Microsoft Security Update Guide
- Priorizar el parcheo de los sistemas críticos: controladores de dominio, servidores con datos confidenciales y sistemas accesibles a un amplio conjunto de usuarios
- Restringir el acceso local a servidores y estaciones de trabajo: minimizar el número de cuentas con permiso de inicio de sesión local y revisar la pertenencia al grupo «Usuarios de Escritorio remoto»
- Reforzar la monitorización: vigilar intentos anómalos de escalada de privilegios, la creación de procesos con nivel SYSTEM desde el contexto de usuarios normales, así como actividad sospechosa relacionada con puertos ALPC
- Aplicar el principio de mínimo privilegio: asegurarse de que las cuentas de servicio y de usuario no tengan permisos excesivos
CVE-2026-85880 requiere la atención inmediata de los equipos de seguridad: la combinación de la explotación señalada por Microsoft, la alta puntuación CVSS y la criticidad del componente del kernel afectado convierte esta vulnerabilidad en prioritaria para el parcheo. Hasta la aparición de la actualización, se debe restringir al máximo el acceso local a los sistemas Windows y reforzar la monitorización de los eventos de escalada de privilegios.
