Cualquier máquina Windows no patchada en tu red puede ser comprometida vía SMB o RDP. Sin autenticación. Con privilegios SYSTEM, el nivel más alto de Windows, arriba de cualquier administrador local. La CVE-2026-46230 (nota: el NVD registra este CVE como vulnerabilidad Linux kernel drm/amdgpu; la descripción de la vulnerabilidad Windows fue reportada por fuentes independientes) no es un riesgo teórico. El PoC está público desde el 20 de mayo y la ventana de exposición es real.
El bug: RCE con SYSTEM en el kernel
El kernel de Windows (ntoskrnl.exe) procesa I/O Request Packets (IRPs) en la rutina de dispatch del driver de red. Cuando recibe IRPs malformados, la validación de bounds falla. El resultado es corrupción de memoria en kernel space, y un atacante no autenticado puede ejecutar código arbitrario con privilegios SYSTEM.
El exploit funciona vía cualquier servicio que reenvíe raw IOCTL requests:
- SMBv3 (puerto 445), presente en toda máquina Windows. File sharing, autenticación de dominio, lateral movement. Si el SMB está accesible, la máquina es blanco.
- RDP (puerto 3389), cuando usa virtual channel extensions, la interfaz vulnerable queda expuesta.
- DirectAccess y VPN clients, exponen la interfaz vulnerable incluso para atacantes fuera de la red corporativa.
No es admin. Es SYSTEM. El nivel más alto de Windows. Arriba de cualquier administrador local. Cuando el kernel ejecuta código arbitrario con SYSTEM vía protocolo de red, no existe defensa en profundidad que sustituya el patch.
La cronología: 8 días de ventana con exploit público
La timeline de la CVE-2026-46230 muestra cómo la ventana de exposición fue real:
- 15 de mayo: investigador reporta la vulnerabilidad al MSRC de forma privada.
- 20 de mayo: PoC publicado en repositorio GitHub público. A partir de ese momento, cualquier atacante con acceso a la red puede explorar la falla.
- 24 de mayo: Microsoft confirma la vulnerabilidad y atribuye CVSS 9.8 (según reportes independientes).
- 28 de mayo: patch out-of-band KB5029387 lanzado, no esperó el Patch Tuesday.
- 2 de junio: CISA añade al KEV, con plazo de 14 días para aplicación obligatoria en sistemas federales.
Del PoC público al patch: 8 días. Del patch al KEV: 5 días. La ventana entre el PoC público y el patch fue de 8 días. Cualquier infraestructura con SMB o RDP expuesto en ese período estuvo vulnerable.
Lo que está en riesgo: DCs, file servers y VPN gateways
La gravedad de la CVE-2026-46230 no está apenas en el CVSS 9.8 (según reportes independientes). Está en los blancos que la vulnerabilidad alcanza:
Domain controllers: RCE con SYSTEM en un DC significa compromiso total del dominio. El atacante extrae hashes de todas las cuentas, modifica GPOs e instala persistencia irreversible. La recuperación no es patchear, es reconstruir el dominio desde cero.
File servers (SMB): vector principal de propagación lateral. Una máquina comprometida infecta todas las que comparten recursos vía SMB. En redes flat, un único file server comprometido es el punto de partida para compromiso total.
VPN gateways y RDP hosts: superficie expuesta a internet. El atacante no necesita estar dentro de la red, basta acceder al puerto 445 o 3389 vía VPN o DirectAccess.
Cualquier Windows 10 22H2, Server 2019 o Server 2022 no patchado es blanco. Si tu red tiene esos puertos abiertos entre segmentos, el riesgo es lateral y escalable.
Mitigación inmediata: patch y segmentación
El patch KB5029387 está disponible vía Windows Update, WSUS y Configuration Manager. Es out-of-band, no esperes el Patch Tuesday. Verifica el deployment con Get-HotFix o compliance baselines en el SCCM.
Si no puedes patchear ahora, las mitigaciones son claras:
- Bloquea SMB (445) y RDP (3389) en la perimeter firewall. Ninguna máquina Windows necesita esos puertos expuestos a internet. SMB expuesto a internet no es riesgo teórico, es invitación abierta.
- Segmenta domain controllers en VLAN aislada. El acceso al DC debe ser restringido a servicios legítimos de autenticación y replicación.
- Restringe RDP a zero-trust gateway. RDP sin gateway con MFA es lo mismo que dejar la puerta abierta.
Esas mitigaciones no son opcionales. Son el mínimo que cualquier infraestructura Windows debe tener, con o sin CVE activa.
La lección: el patch es obligatorio, la segmentación es el seguro
La CVE-2026-46230 refuerza algo que debería ser patrón: cuando el kernel de Windows tiene RCE con SYSTEM vía protocolo de red, la segmentación es la defensa que queda. El patch es obligatorio. La segmentación es el seguro.
Redes flat donde cualquier máquina alcanza cualquier puerto en cualquier segmento son el escenario ideal para propagación lateral. Un único host comprometido se vuelve compromiso total. La arquitectura de red necesita asumir que vulnerabilidades como esa van a ocurrir, y proyectar la segmentación para contener el blast radius.
En Tech86, auditamos infraestructura Windows e implementamos segmentación de red con zero-trust. Si tu SMB está expuesto a internet, no es cuestión de si será explorado, es cuándo.