Vulnerabilidad Zero-Day en Microsoft Windows Server permite a los atacantes bloquear servidores con un solo paquete
Segu-Info · 17 oct, 15:03
Microsoft ha corregido la vulnerabilidad zero-day CVE-2026-70111 en Windows Server 2019, 2022 y 2025, que permite a un atacante con acceso a la red provocar una denegación de servicio enviando una respuesta DFS manipulada a través de SMB. Investigadores de Corelight descubrieron el fallo tras analizar interfaces MS-RPC y DFS, y lograron reproducir el bloqueo del sistema en múltiples intentos. Al momento de la divulgación (13 de octubre de 2026), no había indicios de explotación activa, aunque un atacante persistente podría causar reinicios repetidos.
La vulnerabilidad reside en el controlador `mup.sys` de Windows Server, que no valida correctamente la longitud de los desplazamientos en referencias DFS de tipo `NameList`. Cuando un servidor malicioso devuelve una referencia manipulada a través del protocolo SMB, un desplazamiento puede apuntar a una cadena vacía o a una dirección de memoria inválida. El código no rechaza este valor antes de procesarlo, lo que provoca una referencia a memoria no válida en el núcleo, resultando en una "pantalla azul" (BSOD) y un reinicio inesperado.
Corelight reprodujo el bloqueo de forma fiable: 11 de 11 intentos en Windows Server 2022 y 3 de 3 intentos en Windows Server 2019. El proceso puede completarse en segundos. Windows 10 no está afectado porque retiene comprobaciones de seguridad ausentes en las versiones de servidor. Aunque el sistema puede reiniciarse automáticamente, un atacante capaz de provocar fallos reiterados podría causar una interrupción prolongada del servidor.
Puntos clave
- Afecta a Windows Server 2019, 2022 y 2025; Windows 10 no está afectado
- Requiere acceso a la red; el atacante direcciona el servidor hacia SMB malicioso
- Causa denegación de servicio mediante BSOD; sin acceso remoto sin autenticación
- Ausencia de validación de longitud en referencias DFS de tipo NameList
- Sin explotación activa conocida al 13 de octubre de 2026