Queremos llamar su atención sobre una vulnerabilidad crítica de seguridad en Microsoft Windows que actualmente representa un riesgo agudo para su infraestructura informática. La vulnerabilidad con una puntuación CVSS de 9,8 afecta a casi todas las versiones actuales de Windows y Windows Server – incluido Windows Server 2008 R2 – y permite a los atacantes ejecutar código malicioso con privilegios del sistema sin interacción del usuario.
Es urgente una reparación inmediata de los sistemas afectados.
Investigadores en seguridad informática informan de ataques activos en los que, entre otras cosas, las sesiones web existentes fueron comprometidas y se obtuvieron autenticaciones sin que los usuarios lo supieran, lo que sugiere que la autenticación activa multifactor también podría ser eludida.
¿Qué ha pasado?
Microsoft ha identificado y publicado una vulnerabilidad grave (CVE-2025-47981) en el protocolo de autenticación SPNEGO NEGOEX, una parte importante de la autenticación de Windows en el entorno de dominio, entre otras cosas. Esta vulnerabilidad permite a los atacantes ejecutar código arbitrario con privilegios del sistema, sin iniciar sesión y sin ninguna acción del usuario.
La amenaza es especialmente grave porque Microsoft la clasifica como «wormable». Esto significa que el malware puede propagarse automáticamente a través de redes. Según Microsoft, se espera un primer abuso de esta vulnerabilidad en breve.
Vulnerabilidad reportada
La vulnerabilidad permite que atacantes no autenticados ejecuten código con privilegios del sistema mediante mensajes RED elaborados, provocando un «desbordamiento de búfer basado en heap». Esto es un error en el manejo de la memoria. Cuando se ejecutan, los programas reservan espacio en el llamado heap, una zona de memoria dinámica que se solicita de forma flexible en tiempo de ejecución.
Si se escribe más en esta área de lo previsto, se pueden manipular áreas de memoria vecinas. Esto permite a los atacantes inyectar y ejecutar su propio código malicioso, en este caso, incluso con los privilegios más altos.
¿Qué se ve afectado?
Esta vulnerabilidad afecta a todos los clientes de Windows a partir de Windows 10 versión 1607 porque estas versiones tienen activada por defecto la siguiente Directiva de Grupo: «Seguridad de red: Permitir solicitudes
Esta configuración por defecto significa que la superficie de ataque ya está activa en muchos sistemas, incluso sin ninguna configuración especial.
Los sistemas en los que NEGOEX se utiliza en combinación con los siguientes servicios también están particularmente en riesgo:
¿Qué puedo hacer?
La vulnerabilidad CVE-2025-47981 supone una amenaza aguda para las redes basadas en Windows. La combinación de alta criticidad, facilidad de explotación y posibilidad de distribución automática hace que esta vulnerabilidad sea especialmente peligrosa.
Recomendamos que actúes de inmediato para evitar posibles daños:
Nota importante: Tenga en cuenta que bloquear los puertos 135, 445 y 5985 puede provocar los siguientes efectos:
Así es como puedes identificar una posible explotación de la vulnerabilidad:
