CVE-2026-69676 Kerberos: ejecución remota de código y parches

¿Qué es CVE-2026-69676, la ejecución remota de código en Kerberos?

CVE-2026-69676 Kerberos: ejecución remota de código, afecta a Windows Kerberos y requiere verificar los parches con prontitud. Microsoft la clasifica como crítica: un atacante autenticado con acceso de bajo nivel a un servidor afectado puede enviar una solicitud especialmente diseñada que ejecuta código en ese servidor, sin interacción del usuario. El aviso no establece el acceso administrativo como requisito previo.

El CVRF de MSRC de septiembre de 2026, leído en formato JSON el 3 de octubre de 2026, registra estos valores exactos para esta CVE:

La revisión del aviso individual es la 1.0, con fecha del 8 de septiembre de 2026. Se trata de una actualización de seguridad de septiembre revisada en octubre. La CVE no figuraba en el catálogo CISA Known Exploited Vulnerabilities el 3 de octubre de 2026, en la versión recuperada del catálogo 2026.10.02. Esa observación y la evaluación de explotación de Microsoft son evidencias distintas; ninguna demuestra que no haya podido producirse una explotación en otro lugar.

Cómo funciona: captura y repetición con privilegios bajos

Microsoft identifica una omisión de autenticación mediante captura y repetición. Su descripción sitúa la ejecución de código resultante a través de la red, mientras que las preguntas frecuentes especifican un atacante autenticado con acceso de bajo nivel al servidor afectado. La consecuencia operativa es que no se puede aplazar la aplicación del parche solo porque las cuentas ordinarias carezcan de derechos administrativos.

El CVRF público no explica qué mensaje se captura, cómo se repite ni la ruta exacta de procesamiento vulnerable. Tampoco especifica la identidad bajo la que se ejecuta el código resultante. Una secuencia detallada de paquetes, un comando de explotación o una afirmación de compromiso automático del dominio irían más allá de esas evidencias.

La cadena de ataque confirmada por el aviso

1. El atacante tiene acceso autenticado de bajo nivel a un servidor afectado.
2. El atacante envía una solicitud especialmente diseñada a través de la red.
3. Se ejecuta código en ese servidor sin que un usuario tenga que interactuar.

Estos son los límites documentados del escenario, no una prueba de concepto. El requisito de privilegios bajos hace que las identidades ordinarias comprometidas sean relevantes para la priorización, pero el aviso no afirma que cualquier cuenta de dominio pueda explotar cualquier servidor.

Detección: recopilar el contexto Kerberos y después investigar

La documentación de eventos de Microsoft proporciona visibilidad útil de Kerberos en los controladores de dominio. Estos eventos pueden apoyar una investigación, pero ninguno se documenta aquí como una firma fiable de explotación de CVE-2026-69676.

Habilite y recopile de forma centralizada las subcategorías de auditoría Kerberos Authentication Service y Kerberos Service Ticket Operations. Valide la cobertura tanto de éxitos como de fallos cuando corresponda. La guía publicada de supervisión de Active Directory explica por qué la directiva de auditoría, el reenvío, la conservación de campos y las líneas base deben funcionar conjuntamente antes de que una consulta SIEM proporcione una cobertura útil.

Punto de partida KQL para el triaje

Esta consulta elaborada por un analista utiliza la tabla SecurityEvent documentada y sus columnas tipadas. En esta tabla, EventData es una cadena, por lo que la consulta no accede a ella como un objeto dinámico. Agrupa la actividad para su revisión; la ventana retrospectiva de 24 horas y los intervalos de 15 minutos son decisiones de investigación, no umbrales de explotación.

SecurityEvent
| where TimeGenerated > ago(24h)
| where Channel == "Security"
| where EventSourceName == "Microsoft-Windows-Security-Auditing"
| where EventID in (4768, 4769, 4771)
| extend Account = TargetUserName,
         ClientIP = IpAddress,
         Service = ServiceName
| summarize Events = count(), Services = make_set(Service, 20)
    by bin(TimeGenerated, 15m), Computer, EventID, Account, ClientIP, Status
| order by Events desc

Confirme que su conector recopila estos identificadores de evento en SecurityEvent y rellena TargetUserName, IpAddress, ServiceName y Status para cada tipo de evento. Compare filas de muestra con el XML del evento original; los campos ausentes requieren revisar el analizador antes de que los resultados agrupados sean útiles. No interprete los valores ausentes o un resultado vacío como evidencia de que no se produjo una explotación. Esta consulta no se ha ejecutado sobre telemetría de clientes.

Compare las combinaciones desconocidas de cuenta, cliente y servicio, así como las ráfagas, con la actividad normal, las ventanas de cambios y las evidencias del endpoint en el servidor afectado. Los eventos de tickets del controlador de dominio no son un registro completo de lo que se ejecuta en un servidor miembro. Conserve la telemetría del host cuando una actividad sospechosa coincida con un activo sin parchear.

La guía independiente sobre el fallback de Kerberos a RC4 explica cómo distinguir las evidencias de cifrado de tickets de la configuración de cuentas y remediar las dependencias de AES de forma segura. La actividad RC4 es evidencia contextual; no se ha establecido que cambiar a AES sea una solución para esta CVE.

Remediación: verificar la actualización correcta para cada producto

1. Asociar cada activo con su producto en el CVRF

Lea las entradas de producto afectado y de remediación correspondientes a la versión de Windows y al tipo de instalación del activo. La entrada incluye clientes Windows además de productos de servidor, por lo que una revisión de AD no debe asumir que solo importan los controladores de dominio.

Para Windows Server 2025, el CVRF asocia ProductID 12436, y Server Core ProductID 12437, con KB5122871, con FixedBuild 10.0.26100.33438 y RestartRequired Yes. La página de actualización de Microsoft Support confirma la publicación del 8 de septiembre y la compilación del sistema operativo 26100.33438. Utilícelo como ejemplo específico de una versión, no como una KB que deba aplicarse a todas las versiones de Windows. La misma página de Support documenta una regresión de Remote Desktop Services después de la actualización de septiembre e indica que se resuelve en las actualizaciones publicadas a partir del 14 de septiembre de 2026. Revise los problemas conocidos actuales y las actualizaciones aplicables que la sustituyen antes del despliegue.

2. Recopilar evidencias de instalación

En un activo Windows Server 2025, adapte la búsqueda por identificador documentada de Get-HotFix a la KB confirmada anteriormente:

Get-HotFix -Id KB5122871

Para obtener evidencias adicionales de versión, este comando se cita directamente de la documentación de Get-ComputerInfo:

Get-ComputerInfo -Property "*version"

Estos comandos son ejemplos basados en la documentación, no mediciones de sus servidores. Get-HotFix consulta Win32_QuickFixEngineering; conserve también los registros de mantenimiento y las evidencias completas de la compilación del sistema operativo. Si falta la KB original, compruebe si una actualización acumulativa instalada la sustituye e incluye la corrección. No declare que un activo es vulnerable o está parcheado solo porque una búsqueda de KB no devuelva resultados.

3. Instalar, reiniciar y volver a comprobar

Despliegue la actualización de seguridad aplicable, o una actualización que la sustituya y cuya cobertura se haya verificado, mediante su proceso de mantenimiento admitido. Complete el reinicio requerido, registre la compilación en ejecución y valide las aplicaciones dependientes de Kerberos. Registre las excepciones con un responsable y una fecha de remediación. Mientras persista una excepción, restrinja el acceso innecesario al servidor afectado y supervise las actividades sospechosas; esas medidas no sustituyen al parche.

Cómo detecta EtcSec este problema

No se ha verificado ningún control directo de EtcSec para CVE-2026-69676 en este artículo. No utilice un resultado de postura de etc-collector por sí solo como prueba del estado del parche o de explotación.

Utilice las evidencias del parche y el flujo de investigación Kerberos anteriores para evaluar este problema. Mantenga separados los hallazgos de postura, las evidencias de actualizaciones instaladas y las observaciones de incidentes al registrar el resultado. Una auditoría de configuración sin problemas no puede demostrar por sí sola que este defecto de código de Windows se haya remediado.