Un use-after-free en el controlador que toca cada socket de Windows

CVE-2026-68820 reside en AFD.sys, el Ancillary Function Driver para WinSock, el componente en modo kernel que toca cualquier aplicación de Windows en el momento en que abre un socket de red. El aviso de Microsoft lo describe como un use-after-free desencadenado por una condición de carrera: un atacante autenticado localmente puede ejecutar una aplicación especialmente diseñada que golpea el controlador desde varios hilos a la vez, lo sorprende en un estado inconsistente y aprovecha esa inconsistencia para ejecutar código dentro del kernel. El aviso fija la puntuación base CVSS en 7,0 y el resultado sin rodeos como escalada de privilegios a SYSTEM, el nivel de control más alto que concede una máquina Windows.

La palabra 'autenticado localmente' importa tanto como la palabra 'kernel'. Este fallo no deja entrar a nadie de fuera en una máquina por sí solo; convierte a alguien que ya ejecuta código en esa máquina en su dueño. Esa distinción no es un tecnicismo. Es exactamente la forma de la segunda etapa de una intrusión, y es la etapa alrededor de la cual este actor construyó toda su campaña.

Operation Dream Job: un falso reclutador fue la vía de entrada

Los investigadores de Check Point Moshe Marelus y David Driker atribuyeron la explotación activa de CVE-2026-68820 al grupo norcoreano Lazarus, dentro de la campaña de señuelo de larga duración que la firma sigue como Operation Dream Job. El enfoque es social, no técnico: contactos de reclutamiento falsificados que se hacen pasar por Lockheed Martin y la firma de tecnología de privacidad Enveil, enviados a empleados de organizaciones de defensa, aeroespacial y aviación en varios países, con actividad concentrada contra objetivos en Europa e India. El señuelo es una oferta de empleo atractiva; el adjunto es la carga de la primera etapa.

En cuanto un objetivo abría el señuelo y ejecutaba el archivo adjunto, los operadores obtenían ejecución de código local, la condición previa que necesita CVE-2026-68820. A partir de ahí, Check Point observó una nueva variante en modo kernel del rootkit FudModule desplegada junto a una puerta trasera antes indocumentada que la firma llamó Troy, y después la condición de carrera de AFD.sys usada para ascender de un proceso normal a SYSTEM. Un correo convincente, un clic, y un operador vinculado a un estado posee el endpoint por completo.

Diez semanas entre la primera explotación y la corrección

Check Point afirma haber observado por primera vez a atacantes castigando este fallo concreto a principios de junio de 2026. Microsoft no envió una corrección hasta el ciclo del Patch Tuesday del 11 de agosto, lo que deja unas diez semanas entre la explotación confirmada en libertad y la existencia siquiera de un parche. CISA añadió CVE-2026-68820 a su catálogo de vulnerabilidades explotadas conocidas el mismo día en que salió el parche, con vencimiento el 25 de agosto bajo la Binding Operational Directive 26-04.

El parche en sí llegó dentro de una gran publicación mensual: el recuento propio de Microsoft para el ciclo fue de 421 CVE, mientras que el rastreador independiente Zero Day Initiative contó 398 CVE nuevos, 62 de ellos calificados como críticos. Sea cual sea el recuento que se use, CVE-2026-68820 fue el único elemento que Microsoft marcó como bajo explotación activa ese mes, un ataque real confirmado dentro de un paquete de varios cientos teóricos.

Por qué el Patch Tuesday no puede ser el sistema de alerta temprana del sector defensa

El Patch Tuesday funciona con un reloj mensual fijo. Una campaña dirigida de un actor estatal funciona con su propio calendario, y en este caso ese calendario dio a Lazarus unas diez semanas de acceso funcional a nivel SYSTEM justo contra el sector con menos tolerancia a ello. Para la mayoría de los sectores, una ventana de exposición de diez semanas ante un fallo local de gravedad media es un coste aceptable de un ciclo de parcheo mensual. Para un contratista de defensa ya elegido a dedo por un servicio de inteligencia estatal mediante una oferta de empleo falsa, esa misma ventana es la campaña entera, de principio a fin, completada antes de que existiera una corrección capaz de interrumpirla.

El fallo aquí nunca fue el ritmo de parcheo; Microsoft actuó en cuanto confirmó la explotación, y la corrección llegó dentro de un ciclo de publicación normal. La brecha estuvo en la detección durante las diez semanas en que no existía parche para cerrarla. Eso replantea el problema real para los equipos de seguridad de defensa y aeroespacial: la exposición que deben gestionar no es principalmente un problema de velocidad de parcheo, es un problema de detección de comportamiento y de ingeniería social, y tratar el cumplimiento mensual de parches como respuesta a una campaña dirigida malinterpreta lo que esa campaña realmente fue.

Qué deben hacer esta semana los equipos de seguridad de defensa y aeroespacial

Aplique el parche de agosto ahora; ese paso no es opcional. Pero el parche por sí solo no resuelve la ventana de diez semanas que este incidente acaba de demostrar, así que combínelo con detección afinada a la técnica en lugar de al número de CVE: escalada de privilegios inesperada que se origina en la gestión de sockets o en actividad a nivel de controlador, cargas de controladores en modo kernel sin firmar o desconocidos fuera de una ventana de cambio programada, y comportamiento de persistencia al estilo rootkit en lugar de una coincidencia de firma contra un hash de archivo concreto que será distinto la próxima vez.

Segundo, trate el contacto de reclutamiento como una superficie de ataque para cualquiera cuyo puesto lo convierta en un objetivo plausible: ingenieros y personal de programa con perfiles públicos que mencionan programas de defensa o aeroespaciales, y contactos de recursos humanos y reclutamiento que por diseño reciben propuestas no solicitadas. Un paso de verificación breve y obligatorio antes de abrir un adjunto de un reclutador desconocido, por creíble que parezca la marca, cierra exactamente el punto de entrada que esta campaña usó cada vez.

Leer a continuación: Su MSP tiene una segunda brecha de bypass  |  Infiltrado: la red de hackers de Corea del Norte