Fecha de emisión: 14 de octubre de 2026
CVE ID: CVE-2026-108131
Severidad: ALTA — CVSS 3.1: 7.5 (Microsoft la clasifica como Crítica en su guía de actualizaciones)
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
CWE: CWE-290 — Omisión de autenticación mediante suplantación
Producto afectado: Microsoft Active Directory Federation Services (AD FS) en Windows y Windows Server
Explotación activa: No — Microsoft indica que no ha sido divulgada públicamente ni explotada (evaluación: «Explotación menos probable»)
Fuente: Microsoft Security Response Center (MSRC) / NVD / INCIBE-CERT
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
El 13 de octubre de 2026, como parte de su ciclo mensual de actualizaciones, Microsoft corrigió una vulnerabilidad de suplantación de identidad (spoofing) en Active Directory Federation Services (AD FS), registrada como CVE-2026-108131 y calificada con 7.5 de 10 en la escala CVSS 3.1.
Según Microsoft, la falla permite que un atacante no autenticado realice suplantación de identidad a través de la red. El vector CVSS indica que el ataque puede ejecutarse de forma remota, con baja complejidad, sin privilegios previos y sin interacción del usuario. El impacto principal es sobre la integridad: dado que AD FS emite los tokens de inicio de sesión único (SSO) para aplicaciones federadas y servicios en la nube, una suplantación exitosa podría permitir que un atacante se haga pasar por usuarios o servicios de confianza ante esas aplicaciones.
Al momento de este aviso, hay reportes de explotación activa ni código de explotación público. Sin embargo, por tratarse de un componente de autenticación expuesto con frecuencia a Internet, se recomienda priorizar su corrección.
II. Productos Afectados
El riesgo práctico se concentra en los servidores que tienen instalado el rol AD FS, en especial aquellos publicados a Internet de forma directa o mediante Web Application Proxy.
| Producto | Actualización (KB) | Versión corregida (compilación) |
|---|---|---|
| Windows Server 2025 (incl. Server Core) | KB5126646 | 10.0.26100.33650 |
| Windows Server 2022 (incl. Server Core) | KB5126655 | 10.0.20348.5761 |
| Windows Server 2019 (incl. Server Core) | KB5126651 | 10.0.17763.9376 |
| Windows Server 2016 (incl. Server Core) | KB5126868 | 10.0.14393.9612 |
| Windows Server 2012 R2 (incl. Server Core) | KB5126836 | 6.3.9600.23470 |
| Windows Server 2012 (incl. Server Core) | KB5126835 | 6.2.9200.26434 |
| Windows 11 versiones 24H2, 25H2 y 26H2 | KB5127648 | 10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711 |
| Windows 11 versión 26H1 | KB5127646 | 10.0.28000.3231 |
| Windows 11 versión 23H2 | KB5126653 | 10.0.22631.7652 |
| Windows 10 versiones 21H2 y 22H2 | KB5126657 | 10.0.19044.7807 |
| Windows 10 versión 1809 | KB5126651 | 10.0.17763.9376 |
| Windows 10 versión 1607 | KB5126868 | 10.0.14393.9612 |
Las versiones anteriores a las compilaciones indicadas se consideran vulnerables. Windows Server 2012 y 2012 R2 reciben esta actualización solo a través del programa de Actualizaciones de Seguridad Extendidas (ESU).
III. Acciones Requeridas
1. Actualizar de forma prioritaria
Aplicar las actualizaciones de seguridad de octubre de 2026 indicadas en la tabla anterior, comenzando por los servidores AD FS y Web Application Proxy accesibles desde Internet. Verificar después de reiniciar que la compilación del sistema coincide con la versión corregida.
2. Reducir la exposición mientras se aplica el parche
Microsoft no ha publicado mitigaciones alternativas para esta vulnerabilidad. Hasta completar la actualización, evitar la publicación directa de AD FS a Internet (utilizar Web Application Proxy o un equipo equivalente), limitar el acceso a los endpoints de AD FS a lo estrictamente necesario y mantener habilitada la auditoría de AD FS.
3. Verificar posible compromiso
Revisar los registros de auditoría de AD FS y de las aplicaciones federadas en busca de emisión de tokens anómala: inicios de sesión desde ubicaciones o direcciones IP inusuales, tokens emitidos para cuentas privilegiadas sin actividad correspondiente, o cambios no autorizados en las relaciones de confianza (relying party trusts) y certificados de firma de tokens. Reportar cualquier hallazgo a incidentes@cert.pa.
IV. Referencias
- Microsoft Security Response Center. Active Directory Federation Services (AD FS) Spoofing Vulnerability — CVE-2026-108131. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108131
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2026-108131. https://nvd.nist.gov/vuln/detail/CVE-2026-108131
- INCIBE-CERT. Boletín mensual de seguridad de Microsoft de octubre de 2026 (INCIBE-2026-736). https://www.incibe.es/incibe-cert/alerta-temprana/avisos/boletin-mensual-de-seguridad-de-microsoft-de-octubre-de-2026
V. Información de Contacto
CSIRT PANAMA · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124