{"id":6138,"date":"2026-10-14T09:09:34","date_gmt":"2026-10-14T14:09:34","guid":{"rendered":"https:\/\/cert.pa\/?p=6138"},"modified":"2026-10-14T09:09:35","modified_gmt":"2026-10-14T14:09:35","slug":"csirt-panama-aviso-2026-oct-14-vulnerabilidad-alta-en-microsoft-ad-fs-cve-2026-108131","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6138","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-14: Vulnerabilidad Alta en Microsoft AD FS \u2014 CVE-2026-108131"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 14 de octubre de 2026
CVE ID:<\/strong> CVE-2026-108131
Severidad:<\/strong> ALTA \u2014 CVSS 3.1: 7.5 (Microsoft la clasifica como Cr\u00edtica<\/em> en su gu\u00eda de actualizaciones)
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:N\/I:H\/A:N
CWE:<\/strong> CWE-290 \u2014 Omisi\u00f3n de autenticaci\u00f3n mediante suplantaci\u00f3n
Producto afectado:<\/strong> Microsoft Active Directory Federation Services (AD FS) en Windows y Windows Server
Explotaci\u00f3n activa:<\/strong> No \u2014 Microsoft indica que no ha sido divulgada p\u00fablicamente ni explotada (evaluaci\u00f3n: \u00abExplotaci\u00f3n menos probable\u00bb)
Fuente:<\/strong> Microsoft Security Response Center (MSRC) \/ NVD \/ INCIBE-CERT
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

El 13 de octubre de 2026, como parte de su ciclo mensual de actualizaciones, Microsoft corrigi\u00f3 una vulnerabilidad de suplantaci\u00f3n de identidad (spoofing<\/em>) en Active Directory Federation Services (AD FS), registrada como CVE-2026-108131 y calificada con 7.5 de 10 en la escala CVSS 3.1.<\/p>\n\n\n\n

Seg\u00fan Microsoft, la falla permite que un atacante no autenticado realice suplantaci\u00f3n de identidad a trav\u00e9s de la red. El vector CVSS indica que el ataque puede ejecutarse de forma remota, con baja complejidad, sin privilegios previos y sin interacci\u00f3n del usuario. El impacto principal es sobre la integridad<\/strong>: dado que AD FS emite los tokens de inicio de sesi\u00f3n \u00fanico (SSO) para aplicaciones federadas y servicios en la nube, una suplantaci\u00f3n exitosa podr\u00eda permitir que un atacante se haga pasar por usuarios o servicios de confianza ante esas aplicaciones.<\/p>\n\n\n\n

Al momento de este aviso, hay reportes de explotaci\u00f3n activa ni c\u00f3digo de explotaci\u00f3n p\u00fablico. Sin embargo, por tratarse de un componente de autenticaci\u00f3n expuesto con frecuencia a Internet, se recomienda priorizar su correcci\u00f3n.<\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

El riesgo pr\u00e1ctico se concentra en los servidores que tienen instalado el rol AD FS, en especial aquellos publicados a Internet de forma directa o mediante Web Application Proxy.<\/p>\n\n\n\n

Producto<\/th>Actualizaci\u00f3n (KB)<\/th>Versi\u00f3n corregida (compilaci\u00f3n)<\/th><\/tr><\/thead>
Windows Server 2025 (incl. Server Core)<\/td>KB5126646<\/td>10.0.26100.33650<\/td><\/tr>
Windows Server 2022 (incl. Server Core)<\/td>KB5126655<\/td>10.0.20348.5761<\/td><\/tr>
Windows Server 2019 (incl. Server Core)<\/td>KB5126651<\/td>10.0.17763.9376<\/td><\/tr>
Windows Server 2016 (incl. Server Core)<\/td>KB5126868<\/td>10.0.14393.9612<\/td><\/tr>
Windows Server 2012 R2 (incl. Server Core)<\/td>KB5126836<\/td>6.3.9600.23470<\/td><\/tr>
Windows Server 2012 (incl. Server Core)<\/td>KB5126835<\/td>6.2.9200.26434<\/td><\/tr>
Windows 11 versiones 24H2, 25H2 y 26H2<\/td>KB5127648<\/td>10.0.26100.9711 \/ 10.0.26200.9711 \/ 10.0.26300.9711<\/td><\/tr>
Windows 11 versi\u00f3n 26H1<\/td>KB5127646<\/td>10.0.28000.3231<\/td><\/tr>
Windows 11 versi\u00f3n 23H2<\/td>KB5126653<\/td>10.0.22631.7652<\/td><\/tr>
Windows 10 versiones 21H2 y 22H2<\/td>KB5126657<\/td>10.0.19044.7807<\/td><\/tr>
Windows 10 versi\u00f3n 1809<\/td>KB5126651<\/td>10.0.17763.9376<\/td><\/tr>
Windows 10 versi\u00f3n 1607<\/td>KB5126868<\/td>10.0.14393.9612<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Las versiones anteriores a las compilaciones indicadas se consideran vulnerables. Windows Server 2012 y 2012 R2 reciben esta actualizaci\u00f3n solo a trav\u00e9s del programa de Actualizaciones de Seguridad Extendidas (ESU).<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar de forma prioritaria<\/strong>
Aplicar las actualizaciones de seguridad de octubre de 2026 indicadas en la tabla anterior, comenzando por los servidores AD FS y Web Application Proxy accesibles desde Internet. Verificar despu\u00e9s de reiniciar que la compilaci\u00f3n del sistema coincide con la versi\u00f3n corregida.<\/p>\n\n\n\n

2. Reducir la exposici\u00f3n mientras se aplica el parche<\/strong>
Microsoft no ha publicado mitigaciones alternativas para esta vulnerabilidad. Hasta completar la actualizaci\u00f3n, evitar la publicaci\u00f3n directa de AD FS a Internet (utilizar Web Application Proxy o un equipo equivalente), limitar el acceso a los endpoints<\/em> de AD FS a lo estrictamente necesario y mantener habilitada la auditor\u00eda de AD FS.<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
Revisar los registros de auditor\u00eda de AD FS y de las aplicaciones federadas en busca de emisi\u00f3n de tokens an\u00f3mala: inicios de sesi\u00f3n desde ubicaciones o direcciones IP inusuales, tokens emitidos para cuentas privilegiadas sin actividad correspondiente, o cambios no autorizados en las relaciones de confianza (relying party trusts<\/em>) y certificados de firma de tokens. Reportar cualquier hallazgo a incidentes@cert.pa.<\/p>\n\n\n\n

IV. Referencias<\/strong><\/p>\n\n\n\n