CVE-2026-72982 Netlogon: ejecución remota de código, verificar la corrección

Resumen ejecutivo

La ejecución remota de código Netlogon CVE-2026-72982 exige comprobar urgentemente el estado de los parches en cada controlador de dominio afectado. El CVRF de Microsoft de septiembre de 2026 describe un desbordamiento de búfer en la pila accesible por la red, que no requiere autenticación ni interacción del usuario. La prioridad práctica es identificar el producto Windows exacto de cada servidor, confirmar su actualización de seguridad aplicable y verificar que el despliegue y el reinicio requerido hayan finalizado.

Comprobado el 3 de octubre de 2026: Microsoft clasifica la vulnerabilidad como crítica, con una puntuación base CVSS 3.1 de 9.8. La entrada se publicó inicialmente el 8 de septiembre de 2026: es una vulnerabilidad de septiembre revisada en octubre, no una nueva divulgación de octubre. Los hechos siguientes proceden del JSON CVRF de MSRC de septiembre de 2026.

La CVE está ausente de CISA KEV según la comprobación del 3 de octubre de 2026, en el catálogo KEV descargado, versión 2026.10.02. Esa observación y la evaluación de explotación de Microsoft son instantáneas independientes. Ninguna demuestra que la explotación sea imposible ni justifica posponer la actualización.

CVE-2026-72982 Netlogon: ejecución remota de código

Microsoft describe a un atacante que envía un paquete de red especialmente diseñado a un servicio afectado y que podría ejecutar código en el sistema de destino. La debilidad es un desbordamiento de búfer en la pila. Las preguntas frecuentes publicadas descartan explícitamente dos requisitos habituales: el atacante no necesita una cuenta y el usuario no tiene que hacer clic ni aprobar nada. Sigue siendo necesario tener acceso por la red al servicio afectado.

Para los defensores, la pregunta inmediata es, por tanto, qué sistemas afectados siguen siendo accesibles y no están parcheados. El CVRF no proporciona una firma de paquete, un evento específico de explotación ni pruebas de una campaña activa. No deduzca únicamente de la puntuación una carga útil concreta, una cadena de procesos, un nivel de privilegios tras la explotación ni un comportamiento de propagación automática.

Esta vulnerabilidad es distinta de la aplicación de las protecciones de Zerologon CVE-2020-1472. Ese artículo trata la antigua falla del canal seguro de Netlogon y el historial de aplicación de sus protecciones. Esas configuraciones y correcciones históricas no permiten establecer si está instalada la corrección del desbordamiento de búfer de septiembre de 2026.

Verificar la corrección adecuada en cada controlador de dominio

Comience con un inventario completo de los DC, incluidas las instalaciones Server Core y los controladores de dominio de solo lectura. Registre el producto del sistema operativo, la compilación instalada, la KB aplicable, el resultado del despliegue y la finalización del reinicio para cada equipo. Evite comprobar un único DC visible y extrapolar su resultado al bosque.

La siguiente correspondencia de Windows Server se obtiene directamente al unir las Remediations de esta CVE con el ProductTree del CVRF. Cubre los productos de servidor allí enumerados; el documento también incluye productos cliente de Windows. Utilice el CVRF completo para la remediación de los clientes.

Todas las remediaciones mediante actualización de seguridad anteriores tienen RestartRequired establecido en Yes. Las entradas de 2012 y 2012 R2 corresponden a Monthly Rollup; no generalice la elegibilidad de instalación a partir de esta tabla. Compruebe las condiciones de mantenimiento aplicables. Un número de versión coincidente de otro producto Windows no demuestra cobertura.

Para un DC Windows Server 2025, la documentación de Get-HotFix de Microsoft describe cómo filtrar mediante -Id y consultar un equipo remoto con -ComputerName. Adapte el patrón documentado a la KB aplicable:

Get-HotFix -Id KB5122871

Para un DC Server 2025 remoto, sustituya el nombre de ejemplo por el de su host real:

Get-HotFix -Id KB5122871 -ComputerName DC01

Estas órdenes se verificaron en la documentación, no se ejecutaron contra un DC de producción. Sustituya la KB por la correspondiente de la tabla para otra versión de servidor. Un registro devuelto respalda que la actualización indicada está instalada; no demuestra que el reinicio requerido haya finalizado. Un error de acceso o conectividad es un resultado desconocido, no un hallazgo de parche ausente.

Get-HotFix utiliza Win32_QuickFixEngineering y tiene limitaciones de inventario documentadas. La ausencia de una KB histórica por sí sola no constituye un veredicto concluyente de vulnerabilidad: concilie la compilación instalada y el historial de mantenimiento, incluida cualquier actualización acumulativa que la sustituya, en sus registros de gestión de parches. No utilice únicamente la fecha de instalación de la actualización más reciente como prueba de cobertura de esta CVE.

Para Server 2025, la página de Microsoft de KB5122871 confirma de forma independiente la compilación del sistema operativo 26100.33438. La misma página indica que el problema de RDS introducido por la actualización de septiembre se resolvió en las actualizaciones publicadas a partir del 14 de septiembre de 2026, incluida KB5129235, y recomienda la última actualización aplicable. Considere la tabla como la correspondencia de la corrección original y evalúe después la actualización acumulativa actualmente aplicable y los problemas conocidos antes del despliegue.

Detección: señales útiles y sus límites

La comprobación de exposición con mayor confianza aquí es el cumplimiento de los parches para el producto exacto del sistema operativo. Genere una alerta ante un DC afectado al que le falte la corrección aplicable o una actualización de reemplazo verificada, cuyo despliegue haya fallado o cuyo reinicio siga pendiente. Mantenga los registros de inventario inaccesibles y obsoletos en una cola explícita de resultados desconocidos hasta que alguien los verifique.

El Apéndice L de Microsoft Learn: eventos que supervisar documenta dos eventos de Netlogon:

Son señales de postura de los canales seguros, no indicadores documentados de explotación de CVE-2026-72982. Su presencia no demuestra una RCE exitosa; su ausencia no demuestra que un DC esté parcheado. Revíselos junto con el estado de los parches y su telemetría existente de endpoints y red, en lugar de crear una alerta que atribuya cada aparición a esta CVE.

Microsoft recomienda probar las recomendaciones de supervisión de eventos en el entorno local y revisar la configuración de registro. Confirme que la recopilación funciona en cada DC antes de interpretar un panel sin actividad. El aviso primario utilizado aquí no proporciona una detección KQL específica para la CVE; no hay una firma de explotación verificada que reproducir.

Remediación: aplicar parches, reiniciar y resolver los resultados desconocidos

1. Identifique el producto antes de seleccionar la actualización. Utilice el ProductID y la remediación del CVRF para esa versión de servidor, y revise después la actualización acumulativa actualmente aplicable y sus requisitos previos.
2. Despliegue mediante su canal de actualización habitual. Priorice los DC accesibles y sin parchear y planifique el trabajo teniendo en cuenta la disponibilidad de la autenticación. Conserve el resultado de la actualización para cada host.
3. Complete el reinicio requerido. Un paquete descargado, un despliegue aprobado o una fila de revisión instalada no equivalen a una operación de mantenimiento finalizada.
4. Vuelva a comprobar la compilación en ejecución y las pruebas de actualización. Concilie la correspondencia KB/compilación, cualquier sustitución y los registros de despliegue. Valide la autenticación y la replicación antes de cerrar el cambio.
5. Si no es posible aplicar el parche de inmediato, reduzca la accesibilidad de red innecesaria. Restrinja el acceso desde segmentos no confiables preservando el tráfico de dominio necesario, registre el alcance del control temporal y fije un plazo para aplicar el parche. Es una recomendación para reducir la exposición, no una solución alternativa al fallo documentada por Microsoft.
6. Escale las actividades sospechosas al proceso de respuesta a incidentes. Preserve la telemetría pertinente e investigue independientemente del despliegue de los parches. Instalar la actualización no determina si las actividades sospechosas anteriores implicaron una intrusión.

Nuestra revisión de RCE en controladores de dominio de agosto de 2026 explica por qué importa un inventario que tenga en cuenta las funciones en DNS, AD CS y AD DS. Aplique aquí esa lección operativa manteniendo la distinción de la CVE de Netlogon de septiembre y de su remediación específica por producto.

Cómo detecta EtcSec este problema

Para esta CVE, la comprobación de exposición debe verificar el nivel real de parches frente a la correspondencia de productos y correcciones de Microsoft anterior. La postura de configuración por sí sola no puede responder a esa pregunta. Este artículo no asocia una etiqueta de vulnerabilidad del colector con CVE-2026-72982 porque no se ha verificado ninguna implementación de un detector específico para este flujo de trabajo.

Mantenga los hallazgos de postura de EtcSec junto con las pruebas de cumplimiento de parches, indicando su cobertura por separado. Un hallazgo antiguo sobre la aplicación de las protecciones de Zerologon, una auditoría de configuración sin incidencias o un hallazgo genérico del sistema operativo no deben presentarse como prueba de que esta RCE de Netlogon está detectada o corregida. Cierre esta CVE únicamente con las pruebas de la actualización aplicable, la compilación en ejecución y el reinicio de cada servidor afectado.