CISA emite alerta urgente por vulnerabilidad Zero-Day en Windows (CVE-2026-68820) explotada activamente en servidores

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha emitido una directiva de emergencia vinculante (BOD 26-04) tras confirmar la explotación activa en entornos de producción de una vulnerabilidad de día cero (*Zero-Day*) crítica en los sistemas operativos Microsoft Windows y Windows Server, catalogada formalmente como CVE-2026-68820.

El vector de ataque: Corrupción de memoria en el controlador WinSock (afd.sys)

El fallo de seguridad reside en el Ancillary Function Driver de Windows para sockets de red (afd.sys), el controlador del núcleo (*kernel*) responsable de gestionar las conexiones de red TCP/IP y WinSock. Un atacante con credenciales de usuario básico o que haya obtenido acceso inicial a un equipo de la red puede enviar una secuencia manipulada de llamadas IOCTL para provocar una corrupción de memoria en el espacio del núcleo, elevando sus privilegios de forma instantánea a nivel SYSTEM o NT AUTHORITY.

«La explotación de afd.sys proporciona a los actores de amenazas un puente directo para eludir el aislamiento perimetral, deshabilitar agentes de monitoreo EDR e iniciar el movimiento lateral y despliegue masivo de ransomware en toda la infraestructura de Active Directory.» — Alerta Oficial de CISA (Known Exploited Vulnerabilities Catalog), agosto 2026.

Medidas obligatorias de mitigación para administradores de sistemas:

1. Aplicación inmediata de los parches de seguridad de Microsoft: Desplegar de urgencia las actualizaciones acumulativas en todos los controladores de dominio, servidores de bases de datos y estaciones de trabajo.
2. Monitoreo de telemetría sobre llamadas a afd.sys: Configurar reglas de detección en herramientas SIEM/EDR para alertar sobre procesos anómalos no firmados que interactúen con el controlador de sockets.
3. Segmentación estricta de privilegios: Restringir los permisos de ejecución de scripts en cuentas de usuario estándar y aplicar el principio de mínimo privilegio en entornos de red locales.

Impacto en la continuidad operativa corporativa

Para directores de TI y responsables de ciberseguridad en América Latina, esta alerta subraya la necesidad de contar con políticas automatizadas de parchado. La ventana entre la publicación de un exploit y su adopción masiva por bandas de cibercrimen se ha reducido a menos de 48 horas.