🚨 Alerta de seguridad: Se ha identificado una vulnerabilidad crítica (CVE-2026-64621) en Remote Desktop Services que afecta a las versiones de FreeRDP anteriores a 3.28.0. La explotación exitosa podría permitir a un atacante ejecutar código arbitrario o provocar una denegación de servicio. Se recomienda aplicar la actualización disponible de inmediato.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-64621 |
| Fabricante | Microsoft |
| Producto | Remote Desktop Services (FreeRDP) |
| Fecha de publicación | 20 de julio de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0) |
| Puntuación de prioridad (Ryzer) | 195 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-64621 es un fallo de doble liberación de memoria (double-free) en el componente freerdp_client_rdp_file_apply_to_settings() de FreeRDP, una implementación de código abierto del protocolo Remote Desktop Protocol (RDP). Este error se produce al analizar el campo selectedmonitors de un archivo de conexión .rdp.
Cuando un usuario abre un archivo .rdp manipulado con tokens de monitor sobredimensionados, el puntero al array MonitorIds se libera incorrectamente durante el manejo de errores de strtoul, sin limpiar la referencia en la estructura de configuración. Posteriormente, al cerrar la sesión, freerdp_settings_free() vuelve a liberar el mismo búfer, provocando una doble liberación. Esto puede ser aprovechado por un atacante para corromper la memoria y potencialmente ejecutar código arbitrario o causar una denegación de servicio.
La vulnerabilidad afecta a todos los clientes CLI de FreeRDP (xfreerdp, sdl-freerdp, wlfreerdp) en su configuración predeterminada.
Productos y versiones vulnerables
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| FreeRDP (componente de Remote Desktop Services) | 3.x hasta 3.27.1 (incluido) | 3.28.0 |
Nota: Las versiones anteriores a la 3.x no están afectadas según las fuentes consultadas. El fabricante Microsoft no ha publicado una lista de productos adicionales afectados.
Impacto y riesgo
La vulnerabilidad tiene una puntuación CVSS de 9.3 (Crítica) según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X. Esto indica que la explotación es posible de forma remota, sin autenticación, y requiere interacción del usuario (abrir un archivo malicioso). El impacto en la confidencialidad, integridad y disponibilidad es alto.
Un atacante podría engañar a un usuario para que abra un archivo .rdp especialmente diseñado, lo que desencadenaría la doble liberación y permitiría al atacante tomar el control del sistema afectado o interrumpir el servicio.
Estado de explotación conocida
No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su reciente publicación y su alta puntuación CVSS, no en evidencia de explotación en curso.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu sistema está afectado, verifica la versión de FreeRDP instalada. Si utilizas una versión 3.x anterior a 3.28.0, estás en riesgo. Consulta la documentación de tu distribución o producto para obtener el número de versión exacto. No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
La acción principal es actualizar FreeRDP a la versión 3.28.0 o superior, que contiene el parche de seguridad. El commit correctivo está disponible en el repositorio oficial de FreeRDP (enlace al commit).
Microsoft también ha publicado un aviso en su portal de actualizaciones (MSRC). Se recomienda seguir las instrucciones del fabricante para aplicar la mitigación correspondiente.
Checklist para administradores
- ☐ Identificar todos los sistemas que ejecutan FreeRDP (clientes CLI).
- ☐ Verificar la versión instalada de FreeRDP en cada sistema.
- ☐ Si la versión es anterior a 3.28.0, planificar la actualización inmediata.
- ☐ Descargar e instalar la versión 3.28.0 desde el repositorio oficial o mediante el gestor de paquetes correspondiente.
- ☐ Revisar los registros de eventos en busca de posibles intentos de explotación (aunque no hay IOC conocidos).
- ☐ Informar al equipo de seguridad sobre la vulnerabilidad y las acciones tomadas.
- ☐ Mantenerse atento a nuevas actualizaciones o parches adicionales.
Preguntas frecuentes
¿Qué es un doble free?
Un doble free es un error de programación en el que se libera la misma región de memoria dos veces. Esto puede corromper la memoria del programa y ser aprovechado por un atacante para ejecutar código arbitrario.
¿Esta vulnerabilidad afecta a Windows RDP?
La vulnerabilidad está en FreeRDP, una implementación de código abierto. No se ha confirmado que afecte al cliente RDP nativo de Windows. Las fuentes indican que el producto afectado es Remote Desktop Services de Microsoft, pero la descripción técnica se centra en FreeRDP. Se recomienda consultar el aviso oficial de Microsoft para mayor claridad.
¿Necesito autenticación para explotar esta vulnerabilidad?
No, según el vector CVSS, la explotación no requiere privilegios ni autenticación, solo que la víctima abra un archivo .rdp malicioso.
¿Existe algún parche disponible?
Sí, la versión 3.28.0 de FreeRDP corrige esta vulnerabilidad. También hay un commit específico en el repositorio de GitHub.
¿Cómo puedo protegerme si no puedo actualizar inmediatamente?
Como medida temporal, evita abrir archivos .rdp de fuentes no confiables y restringe el uso de clientes FreeRDP hasta aplicar la actualización.
¿Se ha visto explotada esta vulnerabilidad en ataques reales?
No, según las fuentes consultadas no hay evidencia de explotación activa. La alerta se emite por la criticidad del fallo.