CVE-2026-96252: fallo crítico en AD FS de Windows Server

Qué es la vulnerabilidad

La CVE-2026-96252 es una vulnerabilidad de tipo spoofing que reside en Active Directory Federation Services (AD FS), el componente de Microsoft encargado de proporcionar servicios de autenticación federada y acceso de inicio de sesión único (SSO) en entornos empresariales.

El fallo se debe a una verificación incorrecta de la firma criptográfica (CWE-347: Improper Verification of Cryptographic Signature). Esto implica que AD FS no valida adecuadamente la autenticidad de las firmas digitales en las solicitudes que recibe, lo que permite a un atacante manipular o falsificar tokens y respuestas de autenticación.

La explotación exitosa de esta vulnerabilidad podría permitir a un atacante no autenticado realizar ataques de suplantación de identidad a través de la red. En la práctica, esto significa que un actor malicioso podría hacerse pasar por un usuario legítimo o por un servicio de confianza, obteniendo acceso no autorizado a recursos protegidos o comprometiendo la integridad de las comunicaciones federadas.

La vulnerabilidad afecta a una amplia gama de productos Microsoft, incluyendo Windows 10 (versiones 1607 y 1809), Windows Server 2012, 2012 R2, 2016, 2019, 2022 y 2025, tanto en instalaciones estándar como en instalaciones Server Core. El vector de ataque es remoto, no requiere autenticación previa ni interacción del usuario, lo que incrementa significativamente su nivel de riesgo.

Microsoft ya ha publicado una actualización de seguridad que aborda esta vulnerabilidad. Se recomienda a los administradores de sistemas que revisen el aviso oficial y apliquen el parche correspondiente a la mayor brevedad posible, especialmente en entornos que utilicen AD FS como parte de su infraestructura de autenticación.

Productos y versiones vulnerables

Según la información publicada por CVE.org, la vulnerabilidad CVE-2026-96252 afecta a múltiples productos de Microsoft. La lista completa de productos y versiones afectadas es la siguiente:

Es importante señalar que la vulnerabilidad reside en Active Directory Federation Services (AD FS), por lo que los administradores deben prestar especial atención a los servidores que ejecutan este servicio, independientemente de la versión concreta del sistema operativo.

Impacto y riesgo

La vulnerabilidad CVE-2026-96252 presenta una puntuación CVSS de 9.1 (CRITICAL) según el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Este vector indica que el ataque puede realizarse de forma remota (AV:N), con baja complejidad (AC:L), sin necesidad de credenciales (PR:N) y sin requerir interacción del usuario (UI:N). El impacto se traduce en una compromisión total de la confidencialidad (C:H) y la integridad (I:H) de los datos, aunque no afecta a la disponibilidad (A:N).

La causa raíz se encuentra en una verificación inadecuada de la firma criptográfica en AD FS, clasificada como CWE-347: Improper Verification of Cryptographic Signature. Esto permite a un atacante no autenticado realizar ataques de suplantación (spoofing) a través de la red, lo que en el contexto de AD FS podría traducirse en la emisión de tokens de autenticación falsificados o la suplantación de identidades federadas.

Dado el papel crítico que desempeña AD FS en entornos empresariales como proveedor de identidad para aplicaciones y servicios basados en la nube, una explotación exitosa podría permitir al atacante acceder a recursos protegidos, elevar privilegios o comprometer la confianza entre organizaciones federadas. La combinación de acceso remoto sin autenticación y el alto impacto sobre la confidencialidad e integridad justifican plenamente la clasificación de criticidad.

Estado de explotación conocida

Según la información recopilada de las fuentes consultadas (NVD y CVE.org), no se ha publicado información que confirme explotación activa de esta vulnerabilidad en entornos reales. Las fuentes no incluyen referencias a exploits públicos, campañas de ataque o informes de actividad maliciosa relacionados con CVE-2026-96252.

No obstante, la ausencia de confirmación de explotación no debe interpretarse como una reducción del riesgo. La criticidad de la vulnerabilidad, su facilidad de explotación y el valor de los activos afectados (servidores de federación) hacen que sea previsible la aparición de herramientas de explotación en el corto plazo. Se recomienda aplicar las actualizaciones publicadas por Microsoft con carácter urgente.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo correspondiente en el enriquecimiento de datos aparece vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad.

En ausencia de IOC específicos, se recomienda a los administradores revisar los registros de autenticación de AD FS y los eventos de emisión de tokens en busca de actividades anómalas, especialmente aquellas que impliquen solicitudes de autenticación desde direcciones IP no habituales o patrones de acceso inusuales a los endpoints de federación.

Cómo comprobar si estás afectado

Para determinar si tu infraestructura es vulnerable a CVE-2026-96252, debes verificar dos aspectos fundamentales: la versión exacta del sistema operativo y la exposición del servicio Active Directory Federation Services (AD FS). La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS de 9.1, afecta a múltiples versiones de Windows 10 y Windows Server, por lo que es imprescindible auditar todos los sistemas que ejecuten estos productos.

Según los datos publicados por CVE.org, las versiones afectadas son las siguientes:

Para comprobar la versión de tu sistema, accede a Configuración > Sistema > Información o utiliza el comando winver en el símbolo del sistema. En servidores, puedes usar Get-ComputerInfo en PowerShell para obtener el número de compilación exacto. Si tu versión es inferior a la indicada en la tabla, el sistema está afectado.

Además, debes verificar si el servicio AD FS está instalado y activo. Esto puede hacerse mediante el Administrador del servidor o ejecutando Get-Service adfssrv en PowerShell. La presencia de este servicio, combinada con una versión afectada, indica que el sistema es vulnerable a ataques de suplantación de identidad (spoofing) a través de la red.

Mitigación y actualización

La acción recomendada por el fabricante es clara: revisar el aviso oficial y aplicar la actualización o mitigación publicada. Microsoft ha publicado un boletín de seguridad en su portal MSRC, que puedes consultar en el enlace incluido en la sección de fuentes oficiales. No se han publicado mitigaciones alternativas en las fuentes consultadas, por lo que la instalación del parche es la única vía confirmada para resolver la vulnerabilidad.

La vulnerabilidad, catalogada como CWE-347: Improper Verification of Cryptographic Signature, permite a un atacante no autenticado realizar suplantación de identidad sobre la red. El vector CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N indica que el ataque puede ejecutarse de forma remota sin necesidad de credenciales ni interacción del usuario, con un impacto alto en la confidencialidad e integridad de los datos.

Dado que la puntuación de explotabilidad es de 3.9 y el impacto de 5.2, se recomienda priorizar la actualización en sistemas que ejecuten AD FS, especialmente aquellos expuestos a redes no confiables. La ventana de tiempo desde la publicación de la CVE es de aproximadamente 32 horas, lo que subraya la urgencia de la acción.

Checklist para administradores

Utiliza esta lista para asegurar que tu organización está protegida frente a CVE-2026-96252:

• ☐ Identificar todos los sistemas Windows 10 y Windows Server que ejecutan AD FS.
• ☐ Verificar la versión exacta de cada sistema mediante winver o Get-ComputerInfo.
• ☐ Comparar las versiones con la tabla de productos afectados publicada por CVE.org.
• ☐ Consultar el aviso oficial de Microsoft en MSRC para obtener el parche correspondiente.
• ☐ Aplicar la actualización en todos los sistemas afectados, priorizando los expuestos a redes externas.
• ☐ Verificar que el servicio AD FS se reinicia correctamente tras la actualización.
• ☐ Monitorizar los registros de AD FS para detectar intentos de explotación o actividad anómala.
• ☐ Documentar el proceso de actualización y mantener un inventario actualizado de versiones.

Preguntas frecuentes

¿Qué es CVE-2026-96252?

Es una vulnerabilidad crítica en Active Directory Federation Services (AD FS) de Microsoft, clasificada con una puntuación CVSS de 9.1. Permite a un atacante no autenticado realizar suplantación de identidad sobre la red debido a una verificación incorrecta de firmas criptográficas.

¿Qué sistemas están afectados?

Múltiples versiones de Windows 10 (1607 y 1809) y Windows Server (2012, 2012 R2, 2016, 2019, 2022 y 2025), incluyendo instalaciones Server Core. La lista completa de versiones afectadas y corregidas está disponible en la tabla de este artículo.

¿Cómo puedo saber si mi sistema es vulnerable?

Debes verificar la versión exacta de tu sistema operativo y compararla con las versiones afectadas publicadas por CVE.org. Si tu versión es inferior a la corregida y tienes AD FS instalado, el sistema es vulnerable.

¿Existe algún exploit público disponible?

No se han publicado exploits públicos en las fuentes consultadas. Sin embargo, la criticidad de la vulnerabilidad y su facilidad de explotación (vector de red, sin autenticación) hacen probable que se desarrollen exploits en el futuro cercano.

¿Cuál es la mitigación recomendada?

La única mitigación confirmada es aplicar la actualización publicada por Microsoft. No se han documentado mitigaciones alternativas en las fuentes consultadas. Se recomienda priorizar la instalación del parche en sistemas expuestos.

¿Qué impacto puede tener esta vulnerabilidad?

El impacto es alto en la confidencialidad e integridad de los datos (C:H/I:H). Un atacante podría suplantar identidades en el sistema federado, comprometiendo la seguridad de las aplicaciones que dependen de AD FS para la autenticación.