Un único paquete UDP en el puerto 389. Sin autenticación. Sin interacción. Y el domain controller se apaga. La CVE-2026-41089 en Windows Netlogon no es un riesgo teórico, exploración activa fue confirmada por el CCB Bélgica el 29 de mayo. El patch existe desde el 12 de mayo. Y la mayoría de los DCs todavía no está patchada.
El bug: buffer overflow por tamaño no validado
El Windows Netlogon Remote Protocol (MS-NRPC) es el servicio que autentica usuarios y máquinas en el Active Directory. Corre en todo domain controller. No se puede apagar sin quebrar el dominio.
El atacante envía un CLDAP SearchRequest craftado para UDP 389. El campo "User" acepta hasta 130 wide chars. Netlogon serializa la respuesta en un buffer stack de 528 bytes usando la función NetpLogonPutUnicodeString, que no recibe el tamaño total del buffer como parámetro. Cuando el DNS domain name del DC tiene 50+ caracteres, los datos combinados superan 528 bytes. El overflow corrompe el GS stack cookie. LSASS crashea con código 0xc0000409. El DC reboota en 60 segundos.
528 bytes de buffer. Una función sin parámetro de tamaño. Y el servicio más sensible del AD derribado con un paquete UDP sin autenticación. Buffer overflow por tamaño no validado, la misma clase de bug hace 20 años.
El detalle técnico: tamaño controlable, contenido no
Los bytes que causan el overflow son DNS names del servidor, no datos insertados por el atacante. En la práctica, el atacante controla el tamaño del overflow, no el contenido. Eso significa que RCE es improbable en el estado actual, pero DoS es trivial.
Derribar el LSASS de un domain controller no es un incidente menor. LSASS hospeda toda la autenticación Kerberos y NTLM del dominio. Cuando LSASS cae, el DC para de autenticar. Cuando el DC reboota, el dominio queda sin autenticación por 60 segundos, o más, si el LSASS no sube limpio. En ambientes con un único DC, eso significa parada total.
Pero el CCB Bélgica confirmó exploración activa. Y Microsoft clasificó la vulnerabilidad como wormable según documentación del CCB Bélgica. Unauthenticated, network-reachable y con DC como blanco, eso es lo que importa, independientemente de RCE o DoS.
Quién está vulnerable: todos los DCs Windows
Todo Windows Server que actúa como domain controller está afectado: 2012, 2012 R2, 2016, 2019, 2022 y 2025, incluyendo Server Core. Windows 10 y 11 no están afectados. Los servidores que no son DCs tampoco.
DCs con DNS name corto, como example.com, no son vulnerables al PoC actual. DCs con FQDN de 50+ caracteres lo son. Eso incluye ambientes con subdominios largos, como dc01.corp.empresa.com.br, o convenciones de nomenclatura que acumulan dominios DNS.
El patch es KB5089549, disponible en los cumulative updates de mayo/2026. La Feature_404993339 sustituye NetpLogonPutUnicodeString por RtlStringCbCopyExW con byte-count budget, la función ahora sabe el tamaño del buffer antes de escribir.
Mitigación inmediata: patch, segmentación y monitoreo
El patch es la corrección. No existe workaround que lo sustituya. Aplica KB5089549 en todos los DCs. No esperes el próximo ciclo. DCs primero, siempre.
Si no puedes patchear ahora, las mitigaciones son claras:
- Restringe MS-NRPC en la red. DCs no deben ser alcanzables de VLANs de usuario, DMZ o VPN pools. Host firewalls y segmentación de red reducen la superficie de ataque.
- Verifica el DNS name de tus DCs. 50+ caracteres es riesgo inmediato. Si algún DC excede el límite, prioriza el patch en ese servidor.
- Monitorea crashes del LSASS. WER IDs 1000/1001 en
netlogon.dll, código0xc0000409y tráfico CLDAP anómalo en el puerto UDP 389 son indicadores de exploración.
Esas mitigaciones no son opcionales. Son el mínimo que cualquier infraestructura con DCs Windows debe tener, con o sin CVE activa.
La lección: la misma clase de bug hace 20 años
Buffer overflow por tamaño no validado. Esa es la misma clase de vulnerabilidad que existe hace dos décadas en Windows. La función NetpLogonPutUnicodeString no recibe el tamaño del buffer como parámetro. Escribe hasta acabar el espacio. Cuando el espacio acaba, el stack se corrompe. El LSASS crashea. El DC reinicia.
El patch corrige la función. Pero no corrige la mentalidad que permite que funciones sin validación de tamaño lleguen a producción en servicios críticos de autenticación. MS-NRPC es el protocolo que autentica todo el dominio. No puede tener funciones que escriben en buffers sin saber el tamaño.
En Tech86, auditamos infraestructura Windows Server y Active Directory con foco en superficies de ataque de autenticación. Si tus DCs están expuestos, necesitas saberlo antes del próximo paquete.