CVE-2026-70024: Vulnerabilidad crítica en Windows 10 1607

Qué es la vulnerabilidad

CVE-2026-70024 es una vulnerabilidad de desbordamiento de búfer basado en pila (stack-based buffer overflow) en Internet Information Services (IIS) de Microsoft. Este tipo de fallo ocurre cuando un programa escribe más datos en un búfer de la pila de los que este puede contener, sobrescribiendo direcciones de retorno y otros datos críticos del proceso. En este caso, la debilidad se encuentra en el manejo de solicitudes de red especialmente diseñadas, lo que permite a un atacante no autenticado ejecutar código arbitrario en el sistema afectado.

La causa raíz se clasifica bajo las siguientes debilidades comunes (CWE):

• CWE-121: Desbordamiento de búfer basado en pila.
• CWE-20: Validación incorrecta de entradas.

La combinación de estas debilidades implica que el componente afectado no valida adecuadamente la longitud o el contenido de las solicitudes entrantes antes de copiarlas a la memoria, lo que facilita la explotación remota sin necesidad de credenciales previas.

El vector CVSS asociado (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) confirma que la vulnerabilidad es explotable de forma remota, con baja complejidad de ataque, sin requerir privilegios ni interacción del usuario, y con impacto total en la confidencialidad, integridad y disponibilidad del sistema.

Dado que IIS es un componente ampliamente utilizado en entornos empresariales para alojar sitios web, servicios web y aplicaciones, la exposición a esta vulnerabilidad es especialmente relevante en servidores que ejecutan roles de servidor web. La explotación exitosa podría permitir a un atacante tomar el control completo del servidor afectado, instalar malware, robar datos confidenciales o utilizar el sistema como punto de partida para movimientos laterales dentro de la red.

Es importante señalar que, aunque la descripción inicial del recolector menciona específicamente «Windows 10 Version 1607», la información de CVE.org amplía el alcance a múltiples versiones de Windows 10, Windows 11 y Windows Server, tal como se detalla en la sección de productos afectados. Esta discrepancia se debe a que la clasificación inicial del recolector se basó en la entrada más reciente del NVD, pero la información canónica de CVE.org es la que debe considerarse como referencia definitiva.

Productos y versiones vulnerables

Según la información publicada por CVE.org, la vulnerabilidad afecta a un amplio conjunto de productos de Microsoft. La siguiente tabla resume las versiones afectadas y las versiones corregidas, cuando han sido publicadas por el fabricante:

Las instalaciones con la opción Server Core se ven afectadas en los mismos términos que sus equivalentes de escritorio o servidor completo. No se han publicado listas de productos afectados adicionales en las fuentes consultadas.

Impacto y riesgo

La vulnerabilidad CVE-2026-70024 presenta una puntuación CVSS v3.1 de 9.8 (CRITICAL) con vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto no autenticado puede explotar la vulnerabilidad sin interacción del usuario, comprometiendo la confidencialidad, integridad y disponibilidad del sistema afectado.

El fallo, clasificado como desbordamiento de búfer basado en pila (CWE-121) y validación incorrecta de entrada (CWE-20), reside en Windows Internet Information Services (IIS). La explotación exitosa permite la ejecución de código arbitrario en el contexto del servicio, lo que en un escenario real podría derivar en el control total del servidor, movimiento lateral dentro de la red corporativa o el despliegue de cargas maliciosas persistentes.

Dado que el servicio afectado está expuesto por red de forma habitual en entornos empresariales, el riesgo operativo se considera elevado. La puntuación de prioridad asignada por RyzerBot es de 230, lo que refleja una combinación de criticidad, facilidad de explotación y relevancia para infraestructuras Windows.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en el momento de la publicación del aviso. No se ha incluido ninguna referencia a ataques en curso, campañas maliciosas o código de explotación público en los datos disponibles.

No obstante, la ausencia de confirmación pública no debe interpretarse como ausencia de riesgo. La combinación de severidad crítica, vector de red y la naturaleza del componente afectado (IIS) hace recomendable asumir un escenario de explotación inminente y priorizar la aplicación de parches.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc aparece vacío, por lo que no se dispone de hashes, direcciones IP, dominios o rutas de archivo asociados a esta vulnerabilidad.

Se recomienda monitorizar los sistemas IIS afectados en busca de comportamiento anómalo, especialmente en lo relativo a procesos inesperados, conexiones salientes no habituales o modificaciones en archivos de configuración del servicio.