Patch Tuesday agosto 2026: trío RCE controlador de dominio AD

Patch Tuesday agosto 2026 Active Directory controlador de dominio RCE: el clúster que hay que conocer

El Patch Tuesday agosto 2026 Active Directory controlador de dominio RCE clúster es la entrada que debería detener en seco a los administradores de Active Directory: Microsoft publicó su Patch Tuesday de agosto de 2026 el 11 de agosto de 2026, corrigiendo unos 400 CVE en toda su línea de productos (BleepingComputer contabilizó 400 fallos y tres zero-days en esta entrega) — entre ellos, tres vulnerabilidades distintas de ejecución remota de código, una por cada uno de Windows DNS Server, Active Directory Certificate Services (AD CS) y Active Directory Domain Services (AD DS) — los tres roles que, en conjunto, definen lo que hace un controlador de dominio. Las tres fueron publicadas por Microsoft el 11 de agosto de 2026.

Este artículo se ciñe estrictamente a lo publicado por los avisos oficiales de Microsoft y los medios de seguridad citados, al momento de escribir esto. Cuando el detalle público es realmente escaso — y ese es el caso de una de estas tres fallas — esa carencia se señala explícitamente en lugar de rellenarse.

Para conocer el historial de parches críticos relacionados con controladores de dominio, consulta Zerologon (CVE-2020-1472): por qué la aplicación sigue faltando en tantos DC y Certighost (CVE-2026-54121) ADCS: usuarios con pocos privilegios pueden suplantar a un controlador de dominio — la falla de AD CS de julio de 2026 a la que se suma la RCE de AD CS de este mes en la lista de "parchea la CA ya".

CVE-2026-62878 — RCE de Windows DNS Server (CVSS 9.8, autopropagable)

CVE-2026-62878 es la más severa de las tres. Se trata de un desbordamiento de búfer basado en pila (CWE-121) en Windows DNS Server que permite a un atacante remoto no autenticado ejecutar código a través de la red sin ninguna interacción del usuario, enviando un paquete especialmente diseñado a un servicio DNS afectado — puntuación base CVSS 3.1 de 9.8 (windowsforum.com, cvefeed.io). La Zero Day Initiative y varios medios que cubren esta entrega describen la falla como autopropagable ("wormable"), lo que significa que un solo servidor DNS explotado podría usarse para comprometer automáticamente a otros sin más interacción del atacante (Zero Day Initiative's August 2026 Security Update Review; SecurityAffairs).

⚠️

⚠️ Advertencia: Microsoft califica la explotación como "menos probable" y afirma que la falla ni se está explotando activamente ni se ha divulgado públicamente a fecha de la entrega del 11 de agosto de 2026 (windowsforum.com, SecurityAffairs). Eso es una instantánea, no una garantía — las fallas autopropagables, no autenticadas y con CVSS 9.8 son exactamente el perfil que históricamente pasa a explotación activa en cuanto aparece un PoC público.

CVE-2026-62878 no fue la única RCE de DNS Server en este ciclo. El análisis del Patch Tuesday de agosto de 2026 de CrowdStrike contabilizó cuatro RCE críticas de Windows DNS Server en total en esta entrega — CVE-2026-62878 (9.8), CVE-2026-62817 (8.8), CVE-2026-62820 (8.1) y CVE-2026-65789 (8.1) — todas alcanzables enviando paquetes manipulados a un servidor DNS afectado, sin requerir interacción del usuario. Cualquier DC que ejecute el rol de DNS Server necesita las cuatro correcciones, no solo el CVE principal.

CVE-2026-62818 — RCE de Windows AD CS (CVSS 8.8, use-after-free)

CVE-2026-62818 es una falla crítica de ejecución remota de código en Active Directory Certificate Services: un use-after-free (CWE-416) que un atacante remoto autenticado con pocos privilegios puede desencadenar a través de la red, sin interacción del usuario y con baja complejidad de ataque — puntuación base CVSS 3.1 de 8.8 (windowsforum.com). A diferencia de la falla de DNS, esta requiere que el atacante ya posea una cuenta con pocos privilegios y acceso de red a la CA — pero AD CS es con frecuencia la raíz de confianza del dominio para la autenticación basada en certificados, tarjetas inteligentes, acceso VPN, TLS interno e identidad de dispositivos, por lo que un fallo de ejecución remota de código ahí merece una prioridad muy superior a una simple instrucción de "parchea el servidor" (CrowdStrike).

Esta es la segunda falla de clase RCE que golpea infraestructura adyacente al controlador de dominio en otros tantos ciclos de parches — consulta el artículo sobre Certighost sobre CVE-2026-54121 de julio de 2026, un mecanismo distinto (suplantación por reserva de inscripción en lugar de use-after-free) sobre la misma infraestructura de CA. Si tu CA empresarial todavía no se ha puesto al día con el parche de julio, el CVE-2026-62818 de agosto se suma a la misma lista de tareas — para la superficie de ataque más amplia de plantillas de certificados más allá de ambos CVE, consulta Ataques a plantillas de certificados ADCS: cómo ESC1 a ESC8 llevan a Domain Admin.

CVE-2026-49179 — RCE de Windows AD DS (la que aún carece de detalle público)

CVE-2026-49179 es una vulnerabilidad de ejecución remota de código en Windows Active Directory Domain Services, también publicada el 11 de agosto de 2026 a las 7:00 a.m. hora del Pacífico (windowsforum.com). Esto es lo que todavía no es público: el aviso de Microsoft no establece la ruta de ataque, las versiones afectadas de Windows Server, el requisito de autenticación ni una puntuación base CVSS. Microsoft no ha indicado si la falla es previa a la autenticación, alcanzable desde internet, explotada activamente, o capaz de comprometer todo el bosque (windowsforum.com).

ℹ️

ℹ️ Nota: esto es una carencia de información genuina, no un descuido de este artículo. Trata CVE-2026-49179 como de parcheo obligatorio solo por la prioridad del componente — AD DS es el rol central del controlador de dominio — y consulta directamente el Security Update Guide de MSRC para tus versiones concretas de servidor antes de finalizar un plan de despliegue de parches, ya que el detalle de los avisos a veces se completa después de la publicación inicial.

Detección: qué vigilar ahora mismo

Ninguno de los tres CVE cuenta con una prueba de concepto pública ni explotación confirmada en el mundo real al momento de escribir esto, por lo que la palanca de "detección" más valiosa hoy es la visibilidad del cumplimiento de parches, no la caza de IOC. La tabla siguiente añade los indicadores generales que importarían si comenzaran intentos de explotación.

Indicador	Señal	Fuente	Por qué importa aquí
Caídas/reinicios de DNS Server	Entradas de caída del servicio y procesos secundarios inesperados generados por `dns.exe`	Registro de eventos de Windows (Aplicación/Sistema); regla de detección de Elastic "Unusual Child Process of dns.exe"	Un desbordamiento de búfer basado en pila como CVE-2026-62878 probablemente haga caer el servicio antes de que un exploit tenga éxito — caídas o reinicios repetidos en un DC con rol DNS, o dns.exe generando un proceso secundario inesperado, justifican investigación
Anomalías en la emisión de certificados	ID de evento 4886 (solicitud recibida), 4887 (emitido), 4888 (denegado)	Microsoft Learn: Audit Certification Services	CVE-2026-62818 requiere interactuar con la ruta de solicitud/emisión de la CA; estos eventos solo se registran si la auditoría de Certificate Services está habilitada en la CA
Cumplimiento de parches/builds	Estado de cumplimiento de actualizaciones de WSUS, Intune o SCCM frente a la actualización acumulativa de agosto de 2026 para la build exacta de cada DC	Herramientas de gestión de parches del proveedor	Con la ruta de ataque de CVE-2026-49179 sin documentar públicamente, la señal de mayor confianza disponible hoy es saber exactamente qué DC aún carecen de la actualización — cualquiera que no reporte cumplimiento debe tratarse como expuesto

💡

💡 Consejo: habilita la auditoría de Certificate Services (auditpol /get /subcategory:"Certification Services") antes de confiar en la telemetría 4886/4887 — no está habilitada de forma predeterminada en todos los despliegues de AD CS.

# Inventariar qué servidores tienen cada rol crítico de DC antes de parchear
Get-ADDomainController -Filter * | Select-Object Name, OperatingSystem, IPv4Address
Get-WindowsFeature -Name DNS, ADCS-Cert-Authority | Where-Object Installed

Remediación: prioridad de parcheo para entornos AD

Parchea primero los DC con el rol DNS Server. CVE-2026-62878 no está autenticada, es alcanzable por red, autopropagable y tiene CVSS 9.8 — el perfil de mayor riesgo de las tres. Incluye las otras tres RCE de DNS Server de este ciclo (CVE-2026-62817, CVE-2026-62820, CVE-2026-65789) en la misma actualización.
Parchea después las autoridades de certificación de AD CS. CVE-2026-62818 requiere un atacante autenticado con pocos privilegios, lo que reduce algo la urgencia frente a la falla DNS, pero cualquier CA es una raíz de confianza a nivel de dominio — trátala como una corrección a corto plazo, no como algo para la "próxima ventana de mantenimiento". Para el endurecimiento de la CA más allá del parche de este mes, consulta Mapeo débil de certificados en AD CS: por qué importa la vinculación fuerte.
Parchea todos los demás controladores de dominio para AD DS. Incluso sin detalle público de la ruta de ataque, CVE-2026-49179 afecta al rol central del DC. No esperes a más detalles para parchear; el componente por sí solo justifica la acción.
Haz inventario antes de parchear. Muchos entornos pequeños y medianos alojan juntos los roles de DNS Server, CA de AD CS y AD DS en la misma máquina — un DC puede necesitar las tres correcciones en una sola ventana de mantenimiento. El fragmento de PowerShell anterior es un punto de partida para ese inventario.
Si no puedes parchear de inmediato los DC con rol DNS, restringe la exposición entrante del servicio DNS solo a segmentos de red de confianza como medida provisional. Esto reduce la exposición; no sustituye al parche.
Valida después de parchear. Confirma que la resolución DNS, la inscripción/auto-inscripción de certificados y la replicación de AD DS siguen funcionando con normalidad tras la actualización antes de cerrar la ventana de mantenimiento.

🚨 Peligro: que tres RCE aterricen en la superficie de roles del DC en una sola entrega no es una coincidencia que deba ignorarse — DNS, AD CS y AD DS gestionan entre ellos la resolución de nombres, la autenticación basada en certificados y el propio directorio. Un solo DC sin parchear expuesto en cualquiera de estos tres servicios es un punto de entrada viable.

Cómo detecta EtcSec la exposición relacionada

Ninguno de estos tres CVE es en sí mismo una mala configuración que el catálogo de auditoría de EtcSec pueda señalar — son condiciones de parche faltante, y EtcSec audita la exposición de configuración y privilegios, no el inventario de hotfix. Lo que sí muestra el catálogo es cuánto daño podría causar después un compromiso de DC a través de cualquiera de estas rutas: los permisos con capacidad DCSync identifican qué cuentas podrían extraer secretos del directorio si un atacante aprovecha una de estas RCE para llegar a un controlador de dominio, y ADCS Weak Permissions señala brechas de endurecimiento a nivel de CA independientes del parche de este mes — ambos reducen el radio de impacto aunque ninguno detecte directamente CVE-2026-62878, CVE-2026-62818 o CVE-2026-49179.

ℹ️

ℹ️ Nota: EtcSec verifica automáticamente los permisos con capacidad DCSync y las configuraciones incorrectas de ADCS en cada auditoría de AD. Ejecuta una auditoría gratuita para verificar la exposición más amplia de tu entorno mientras confirmas el estado de parcheo de los tres CVE de agosto de 2026.

Patch Tuesday agosto 2026 Active Directory controlador de dominio RCE: 3 fallos que no puedes aplazar