CVE-2026-85880: Desbordamiento de heap en Windows ALPC permite elevación de privilegios
CVE-2026-85880: desbordamiento de heap en Windows ALPC permite elevación de privilegios
Microsoft ha confirmado una vulnerabilidad de desbordamiento de búfer basado en heap en el subsistema Advanced Local Procedure Call (ALPC) de Windows, catalogada como CVE-2026-85880. El fallo permite a un atacante con acceso local elevar sus privilegios hasta el nivel de SYSTEM. La agencia estadounidense CISA la ha incorporado a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 8 de septiembre de 2026, lo que confirma que ya está siendo explotada activamente en ataques reales.
La vulnerabilidad recibió una puntuación CVSS de 7.8 (severidad ALTA) en el enriquecimiento de la NVD, y está clasificada bajo CWE-122 (Heap-based Buffer Overflow) y CWE-908 (Use of Uninitialized Resource).
Análisis Técnico
El componente ALPC (Advanced Local Procedure Call) es el mecanismo interno de comunicación entre procesos (IPC) de alto rendimiento que Windows utiliza para el intercambio de mensajes entre procesos cliente y servidor, incluidos numerosos servicios que se ejecutan con privilegios elevados. Por su posición dentro del kernel y su interacción constante con procesos privilegiados, ALPC es un objetivo histórico y recurrente para las técnicas de escalada local de privilegios (LPE).
Vector de Ataque
El fallo se origina en el manejo inadecuado de la memoria del heap al procesar mensajes ALPC. Un atacante que ya disponga de acceso local con privilegios limitados —por ejemplo, mediante una cuenta comprometida o la ejecución previa de código sin privilegios— puede construir mensajes ALPC manipulados que provoquen un desbordamiento del búfer en el heap. Al controlar la corrupción de estructuras de memoria adyacentes, el atacante puede alterar el flujo de ejecución y, en última instancia, ejecutar código arbitrario en el contexto del sistema operativo, obteniendo privilegios de SYSTEM.
- Tipo: Elevación local de privilegios (LPE).
- Requisito previo: acceso local autenticado con privilegios bajos.
- Complejidad: baja; no requiere interacción del usuario.
- Resultado: ejecución de código con privilegios de
SYSTEM.
Impacto Operacional y de Seguridad
Aunque una vulnerabilidad de escalada local no permite el compromiso inicial de un sistema por sí sola, su valor en la cadena de ataque es crítico. Los operadores de ransomware y los grupos APT combinan rutinariamente un acceso inicial (phishing, credenciales robadas, una vulnerabilidad de ejecución remota) con un fallo de LPE como este para tomar control total del equipo, desactivar defensas, moverse lateralmente y desplegar cargas útiles con máximos privilegios.
El hecho de que CISA la haya añadido al catálogo KEV significa que ya se ha observado explotación activa en el mundo real, elevando la urgencia de la remediación por encima de una vulnerabilidad teórica.
Productos Afectados
La vulnerabilidad afecta al subsistema ALPC de Microsoft Windows. Dado que ALPC es un componente central del sistema operativo, las organizaciones deben asumir que todas las versiones soportadas de Windows y Windows Server pueden verse impactadas hasta que se confirme lo contrario. Se recomienda consultar la guía de actualización oficial de Microsoft (MSRC) para el listado exacto de compilaciones y KB afectadas y sus parches correspondientes.
Recomendaciones y Mitigación
Acciones Inmediatas Recomendadas
- Aplicar los parches de Microsoft tan pronto como estén disponibles, siguiendo las instrucciones del MSRC Security Update Guide. Esta es la mitigación definitiva.
- Priorizar los sistemas expuestos y los activos críticos, así como cualquier host con múltiples usuarios o acceso interactivo.
- Para las agencias federales de EE. UU. (FCEB), CISA establece como fecha límite de remediación el 22 de septiembre de 2026, en cumplimiento de la directiva BOD 26-04. El resto de organizaciones debería adoptar el mismo criterio de urgencia.
- Reforzar la monitorización de comportamiento (EDR/XDR) para detectar patrones de escalada de privilegios y ejecución anómala de procesos como
SYSTEM. - Aplicar el principio de mínimo privilegio y restringir el acceso local interactivo para reducir la superficie de explotación.
- Si no es posible aplicar mitigaciones, seguir la guía de BOD 26-04 para servicios en la nube o considerar discontinuar el uso del producto afectado, evaluando la exposición a Internet de cada activo.