CVE-2026-69524 CVE-2026-69546 AD RCE: parches y comprobaciones

Resumen: CVE-2026-69524 CVE-2026-69546 — RCE en Active Directory

CVE-2026-69524 y CVE-2026-69546 son dos vulnerabilidades distintas de ejecución remota de código en Active Directory Domain Services (AD DS), publicadas el 8 de septiembre de 2026. Ambas tienen una puntuación base CVSS 3.1 de 8.1, no requieren privilegios ni interacción del usuario según sus vectores CVSS e implican una debilidad de uso de memoria después de liberarla. Microsoft indica que una explotación exitosa depende de ganar una condición de carrera. Esta dificultad adicional debe orientar la planificación de los parches, sin retirar ninguna de las dos vulnerabilidades de la cola de remediación de los controladores de dominio. Son actualizaciones de septiembre revisadas en octubre, no fallos nuevos anunciados en octubre. El CVRF de septiembre de Microsoft es la fuente de los datos sobre las CVE que se presentan a continuación.

Para los equipos de defensa, las prioridades inmediatas son asociar cada controlador de dominio con su actualización aplicable, verificar la instalación y la finalización del reinicio, y preservar la telemetría útil. El CVRF público no proporciona una firma de evento ni un indicador de compromiso específico de estas CVE. Las alertas genéricas de cambios en el directorio o del estado de los servicios deben apoyar la investigación sin presentarse como prueba de que alguno de los fallos se haya explotado.

CVE-2026-69524 y CVE-2026-69546 en paralelo

Los siguientes valores proceden del CVRF de septiembre recuperado el 3 de octubre de 2026. Microsoft clasifica ambas vulnerabilidades como Important. Las cadenas sobre explotación se reproducen exactamente; sus distintas evaluaciones de probabilidad deben mantenerse diferenciadas.

Ninguna de las CVE figuraba en el catálogo JSON Known Exploited Vulnerabilities de CISA consultado el 3 de octubre de 2026; la versión recuperada del catálogo era 2026.10.02. La ausencia en esa fecha y los campos Exploited:No de Microsoft son observaciones distintas. Ninguna garantiza que la explotación no pueda ocurrir ni que se haya observado toda la actividad.

Funcionamiento: uso después de liberación y condición de carrera

El uso después de liberación ocurre cuando un programa accede a memoria después de que esta se haya liberado. Sus consecuencias dependen de la implementación; los fallos del programa y la ejecución no autorizada están entre las posibilidades descritas en la definición CWE-416 de MITRE. Esto explica la clase de debilidad, sin establecer la función vulnerable ni el formato preciso del paquete para ninguna de las CVE.

La FAQ de Microsoft para CVE-2026-69524 describe a un atacante no autenticado que envía un paquete manipulado a un servicio de red afectado. Su FAQ para CVE-2026-69546 describe a un atacante dentro de la red que invoca puntos de conexión arbitrarios. Ambas FAQ indican que la explotación requiere ganar una condición de carrera. El CVRF no identifica los puntos de conexión afectados, una secuencia de explotación fiable ni un defecto de código subyacente compartido. Agrupar aquí las vulnerabilidades refleja su componente común, su clase de debilidad y la correspondencia de actualizaciones.

Por qué AC:H sigue requiriendo una acción

AC:H identifica un obstáculo adicional para la explotación. No convierte PR:N en un requisito de autenticación ni UI:N en la necesidad de que alguien haga clic en un enlace. Nuestra recomendación operativa es priorizar los controladores de dominio afectados porque prestan servicio a la infraestructura de identidad, conservando las evaluaciones reales de probabilidad de Microsoft. Evite inventar una tasa de éxito, describir estos fallos como propagables por un gusano o suponer que el acceso a la red implica exposición pública a Internet.

El análisis de agosto de RCE en controladores de dominio explica por qué los equipos elaboran un inventario de los roles relacionados con los DC y verifican su cumplimiento de parches. Abarca otra publicación y otras CVE; sus descripciones de ataques no deben trasladarse a este par.

Verificar la actualización correcta en cada controlador de dominio

El CVRF de septiembre asocia ambas CVE con estas remediaciones de Windows Server, incluidos los productos Server Core correspondientes. Esta tabla registra la correspondencia de actualizaciones originales, no una instrucción para instalar un paquete antiguo sobre una actualización acumulativa aplicable más reciente.

Identifique el producto y la variante de instalación antes de elegir una actualización. La inclusión en esta tabla CVRF no afirma nada sobre el derecho de un servidor a recibir soporte. Para Server 2025, el artículo de soporte KB5122871 confirma de forma independiente la compilación del sistema operativo 26100.33438 y describe los canales de instalación admitidos. Consulte la documentación de la publicación aplicable para conocer los requisitos previos, los problemas conocidos y las actualizaciones posteriores.

La documentación Get-HotFix de Microsoft proporciona este comando exacto de inventario local:

Get-HotFix

Sus parámetros documentados -Id y -ComputerName pueden aplicarse a la correspondencia de Server 2025 como sigue. DC01 es un nombre de ejemplo; use el nombre real del controlador. Estos comandos son ejemplos basados en la documentación, no resultados obtenidos de un entorno de cliente.

Get-HotFix -Id KB5122871 -ComputerName DC01

Conserve las pruebas de instalación devueltas junto con la versión exacta del sistema operativo, la compilación en ejecución y el estado del reinicio de sus herramientas de gestión. Get-HotFix utiliza la clase Win32_QuickFixEngineering, cuya cobertura de actualizaciones es limitada. Una entrada ausente requiere investigación; por sí sola no establece una vulnerabilidad, especialmente cuando una actualización posterior sustituye la KB original. Confirme la aplicabilidad y la sustitución antes de cerrar el registro.

Detección: recopilar contexto y después investigar

Separe la exposición por falta de parches de la sospecha de compromiso. La primera requiere un inventario fiable de actualizaciones. La segunda requiere correlacionar la actividad e investigar. Ningún ID de evento de los siguientes identifica de forma exclusiva la explotación de CVE-2026-69524 o CVE-2026-69546.

Microsoft documenta el registro de diagnóstico AD DS, incluida su recopilación predeterminada de eventos críticos y de error. Aumente el detalle de los diagnósticos solo para una investigación acotada y restablezca después la configuración normal; un mayor detalle puede afectar al rendimiento. Envíe los registros Security y Directory Service a un sistema central y compruebe el estado de la ingestión antes de confiar en su ausencia.

Las referencias primarias de eventos son 5136: objeto de directorio modificado y 1102: registro de auditoría borrado. Para 5136, preserve SubjectUserName, ObjectDN, AttributeLDAPDisplayName, AttributeValue, OperationType y OpCorrelationID. Un cambio suele producir eventos separados de eliminación y adición de valores; correlaciónelos mediante OpCorrelationID y el contexto del objeto y del atributo para comparar los valores anteriores y nuevos. La guía de supervisión AD explica por qué la directiva de auditoría, la recopilación, la correspondencia de campos y la correlación deben funcionar conjuntamente para que las detecciones basadas en eventos aporten una cobertura útil.

Para el triaje local, este ejemplo adapta la sintaxis Get-WinEvent y el filtrado mediante tabla hash de Microsoft. Ejecútelo en el controlador con los permisos adecuados de lectura de registros:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5136,1102} -MaxEvents 100
Get-WinEvent -LogName 'Directory Service' -MaxEvents 100

El límite acota los registros mostrados; no es un umbral de alerta ni una cronología completa de un incidente. Revise el intervalo relevante en su SIEM, correlacione los cambios inesperados con la telemetría del host y de la red, y excluya el mantenimiento documentado. Una consulta sin resultados no puede certificar que un DC esté parcheado ni libre de compromiso.

Remediación: aplicar parches, reiniciar y preservar pruebas

1. Crear un registro de actualización para cada controlador. Incluya el producto Windows Server exacto, la variante de instalación, la KB aplicable o la actualización que la sustituye, el responsable y las pruebas de finalización. Resuelva explícitamente los sistemas inaccesibles o que no informan de su estado.
2. Desplegar la actualización aplicable admitida. Ambas CVE requieren una acción del cliente. Use el canal de actualización aprobado y las instrucciones de la publicación sobre requisitos previos y problemas conocidos. Para Server 2025, el artículo de soporte recomienda la última actualización de Windows aplicable y registra la resolución posterior de un problema RDS que afectaba a la publicación de septiembre.
3. Completar el reinicio requerido y validar el estado de los servicios. Ambas entradas CVRF indican que las actualizaciones Server enumeradas requieren reinicio. Confirme la autenticación y la replicación mediante sus comprobaciones operativas habituales, y compare los nuevos errores del servicio de directorio con la referencia anterior al mantenimiento.
4. Volver a comprobar las pruebas de instalación. Use el comando de inventario documentado y los registros de gestión, confirme la compilación en ejecución y la sustitución de actualizaciones, y conserve el resultado para cada controlador. Un paquete desplegado con un reinicio pendiente no constituye un registro de cambio completado.
5. Investigar por separado los indicios creíbles de compromiso. Preserve los registros recopilados centralmente y las pruebas del host, coordine la contención con el equipo de respuesta a incidentes de identidad y evalúe los cambios no autorizados del directorio. Instalar el parche por sí solo no revierte los cambios que un atacante ya haya realizado.

Cómo EtcSec detecta este problema

Use los hallazgos de auditoría de configuración de EtcSec junto con registros independientes de cumplimiento de parches e investigación SIEM. Este análisis no valida un control de EtcSec para ninguna de las CVE, su actualización instalada ni su explotación. Un hallazgo de configuración por sí solo no puede establecer si un controlador ha recibido la actualización AD DS de septiembre aplicable.