Vulnerabilidad Zero-Day en Microsoft Windows Server permite a los atacantes bloquear servidores con un solo paquete
Microsoft ha corregido una vulnerabilidad en Windows Server que permite a un atacante con acceso a la red provocar el bloqueo de un servidor mediante una respuesta de referencia del Sistema de Archivos Distribuido (DFS, por sus siglas en inglés) especialmente manipulada. Identificada como CVE-2026-70111, la vulnerabilidad afecta a las versiones 2019, 2022 y 2025 de Windows Server.
Investigadores de Corelight informaron sobre el problema tras detectarlo mientras analizaban las interfaces de Llamada a Procedimiento Remoto de Microsoft (MS-RPC) y DFS. La empresa señaló que, al divulgar la vulnerabilidad el 13 de octubre de 2026, no se habían observado indicios de que estuviera siendo explotada activamente.
La vulnerabilidad conlleva un riesgo de denegación de servicio, no de toma de control del servidor. El atacante requiere acceso a la red para lograr que el sistema objetivo se conecte a un servidor SMB malicioso; este devuelve una referencia DFS malformada que provoca el bloqueo del servicio, un proceso que, según Corelight, puede completarse en cuestión de segundos.
Windows utiliza DFS para dirigir a los usuarios y sistemas hacia archivos almacenados en una red. Cuando un servidor Windows resuelve una ruta DFS, un componente denominado `mup.sys` solicita información de referencia a través del protocolo SMB. Corelight descubrió que una respuesta manipulada puede alcanzar una ruta de código vulnerable mientras el controlador procesa dicha referencia DFS.
La causa identificada es la ausencia de una comprobación de longitud. En un tipo específico de referencia `NameList`, un desplazamiento puede apuntar a una cadena vacía. El código del servidor no rechaza este valor antes de procesarlo, lo que puede llevar al núcleo a realizar una referencia a una dirección de memoria no válida. El resultado es una "pantalla azul" y un reinicio inesperado del sistema…