Microsoft ha corregido CVE-2026-70111, una vulnerabilidad que permite provocar un pantallazo azul en Windows Server mediante una respuesta de red manipulada. Afecta a las versiones 2019, 2022 y 2025 y puede interrumpir servicios de una organización. Según Corelight, la corrección llegó con las actualizaciones del 13 de octubre de 2026.
📌 En resumen
- El ataque requiere conectividad con el servidor y que este procese una respuesta DFS maliciosa mediante SMB.
- El impacto demostrado es una caída del sistema; no se ha descrito una toma de control.
- Corelight no había observado explotación activa al publicar su investigación.
Cómo puede una respuesta de red tumbar el servidor
El problema afecta al procesamiento de referencias del sistema de archivos distribuido, conocido como DFS. Esta tecnología ayuda a localizar recursos y archivos repartidos por una red.
La investigación original de Corelight explica que una respuesta manipulada puede desencadenar un error en el controlador mup.sys, un componente que interviene en la resolución de rutas de red.
Para llegar a ese punto, el atacante necesita conseguir que el equipo objetivo establezca una conexión SMB con un servidor bajo su control. No basta con enviar cualquier paquete a una dirección de Internet: deben cumplirse las condiciones de conectividad y procesamiento descritas.
El resultado observado es un fallo del núcleo de Windows que provoca un pantallazo azul y puede dar lugar a un reinicio. Si el ataque se repite, la recuperación automática no evita necesariamente nuevas interrupciones.
Qué versiones están afectadas
Corelight identifica como vulnerables Windows Server 2019, Windows Server 2022 y Windows Server 2025. La compañía reprodujo la caída en las once pruebas realizadas con Server 2022 y en las tres efectuadas con Server 2019.
Son resultados de laboratorio: acreditan reproducibilidad en esos ensayos, pero no establecen una tasa de éxito para todas las configuraciones empresariales.
Los investigadores señalan que Windows 10 conserva comprobaciones que evitan este fallo. Ese dato no permite extender la conclusión a otras versiones de Windows que no se hayan evaluado expresamente.
La prioridad es aplicar la corrección
Los administradores deben comprobar que los servidores afectados tienen instalada la actualización de seguridad correspondiente o una posterior que incorpore la corrección. Corelight recomienda priorizar los equipos que utilizan DFS activamente.
Conviene verificar la instalación efectiva y completar cualquier reinicio pendiente dentro de la ventana de mantenimiento prevista. La vigilancia de la red aporta información para investigar incidentes, pero no sustituye al parche.
El riesgo cobra especial importancia cuando una caída afecta a infraestructura esencial, como un controlador de dominio, del que pueden depender otros servicios.
Qué revisar si aparecen reinicios inesperados
Corelight recomienda observar el tráfico SMB interno, además de las conexiones que atraviesan el perímetro. Un intercambio malicioso podría producirse entre equipos situados dentro de la propia organización.
Los eventos 41 y 6008 del registro de sistema pueden acompañar a un apagado inesperado, pero no identifican por sí solos una explotación de esta vulnerabilidad.
En entornos con Zeek, agrupaciones de conexiones con estados S1, RSTR o RSTRH alrededor de una caída pueden ayudar a reconstruir lo ocurrido. Deben correlacionarse con registros del sistema y evidencias de red antes de atribuir el reinicio a un ataque.
Comentarios
Publicar un comentario
Sé respetuoso con los demás usuarios y no utilices lenguaje ofensivo o discriminatorio.