El Centro de Ciberseguridad de Bélgica ha pedido a las organizaciones que actualicen cuanto antes sus servidores Windows tras advertir de una posible explotación activa de CVE-2026-41089, una vulnerabilidad crítica en Netlogon. El fallo tiene una puntuación de gravedad de 9,8 sobre 10 y puede permitir la ejecución remota de código contra un servidor que actúe como controlador de dominio. En la práctica, un atacante podría intentar ejecutar instrucciones sin iniciar sesión previamente, siempre que pueda alcanzar el servicio vulnerable a través de la red.
Microsoft corrigió el problema el 12 de mayo de 2026 dentro de sus actualizaciones mensuales de seguridad, un paquete que abordó 137 vulnerabilidades. La alerta belga llegó después y abrió una discrepancia poco habitual, ya que Microsoft afirmó que no había encontrado pruebas que respaldaran la supuesta explotación. Aun así, ambas partes coinciden en que los sistemas sin actualizar deben recibir el parche.
Qué falla en Netlogon
Netlogon es un servicio de Windows que ayuda a autenticar usuarios y equipos dentro de una red corporativa basada en dominios. Funciona en segundo plano y participa en la comunicación segura entre los dispositivos y el controlador de dominio, el servidor que comprueba identidades y permisos.
CVE-2026-41089 es un desbordamiento de búfer basado en la pila. Dicho de forma sencilla, el programa puede recibir más datos de los que tiene reservados para una operación y terminar sobrescribiendo parte de su memoria, como cuando se llena demasiado un recipiente y el contenido invade el espacio de al lado.
Según los avisos técnicos, un atacante podría enviar solicitudes de red especialmente manipuladas al servicio Netlogon. No necesitaría una cuenta válida ni convencer a una persona para que abra un archivo, por lo que el fallo resulta especialmente delicado en servidores accesibles desde redes que no son de confianza.
Por qué importa tanto
Un controlador de dominio es una pieza central de Active Directory, el sistema que muchas organizaciones utilizan para gestionar cuentas, ordenadores y accesos. Decide quién puede entrar en la red y qué recursos puede utilizar cada identidad.
CERT-EU advierte de que una explotación correcta podría permitir ejecutar código con privilegios de sistema en el controlador afectado. Ese nivel de permisos es muy elevado y podría facilitar cambios en el servidor, la instalación de herramientas maliciosas o nuevos intentos de movimiento hacia otros equipos.
Eso no significa que cada ataque vaya a dominar automáticamente toda la empresa. Pero sí supone alcanzar una de las puertas más sensibles del edificio digital, y por eso los controladores de dominio suelen estar entre los primeros sistemas que deben actualizarse.
Dos versiones sobre los ataques
El Centro de Ciberseguridad de Bélgica afirmó que la vulnerabilidad «se está explotando activamente en la práctica» y recomendó instalar las correcciones de inmediato. CERT-EU reprodujo después esa advertencia y señaló que atacantes remotos podrían enviar paquetes preparados para ejecutar código arbitrario.
Microsoft, por otro lado, respondió a una consulta que «no ha encontrado pruebas que respalden las afirmaciones del CCB». La compañía mantuvo su recomendación de instalar las últimas actualizaciones de seguridad en cualquier sistema que continúe sin parchear.
Los avisos públicos consultados no identifican a un grupo concreto, víctimas determinadas ni indicadores técnicos que permitan atribuir una campaña. Por ahora, la información disponible obliga a separar la gravedad técnica documentada del alcance real de la explotación, que sigue sin quedar aclarado públicamente.
Qué servidores están afectados
El aviso de CERT-EU enumera Windows Server 2012, 2012 R2, 2016, 2019, 2022, Windows Server 2022 versión 23H2 y Windows Server 2025. El escenario de mayor riesgo es el de esas máquinas cuando funcionan como controladores de dominio y todavía no han recibido la actualización correspondiente.
Por tanto, el foco no está en el ordenador doméstico corriente, sino en servidores que sostienen la autenticación de empresas, administraciones y otras entidades. Un portátil personal conectado a internet no cumple por sí solo el papel descrito en el ataque.
Tampoco hay un clic sospechoso que el empleado pueda evitar. En gran medida, la defensa depende de la gestión técnica de la red, del control de qué sistemas pueden comunicarse con Netlogon y, sobre todo, de que la corrección esté instalada.
Qué deben hacer las organizaciones
La medida principal es aplicar las actualizaciones acumulativas de mayo de 2026 o una versión posterior que incluya la corrección. Los responsables de tecnología deberían priorizar todos los controladores de dominio afectados, probar el cambio cuando sea necesario y comprobar después que la instalación terminó correctamente.
También conviene revisar el inventario real de servidores. En la práctica, eso significa confirmar uno por uno qué versión ejecutan, qué parche tienen instalado y si existe alguna máquina antigua, de respaldo o poco visible que haya quedado fuera del proceso habitual.
Cuando una actualización inmediata no sea posible, Microsoft recomienda reducir la exposición, reforzar la segmentación de la red y mejorar la detección de comportamientos anómalos. Son medidas útiles para ganar margen, pero no sustituyen el parche, especialmente ante una vulnerabilidad con una puntuación crítica y una posible explotación en curso.
El aviso oficial de la vulnerabilidad se ha publicado en el Centro de Respuesta de Seguridad de Microsoft.
