ResetNightmare y KerberLoss: dos fallos críticos en Active Directory ya parcheados

Dos vulnerabilidades críticas en Active Directory, el sistema con el que la mayoría de las empresas gestiona usuarios, contraseñas y permisos en sus redes Windows, permitían a un atacante con pocos privilegios acabar controlando un dominio completo. Las ha descubierto un investigador de la firma de seguridad Semperis y, según informa el medio especializado Silicon, Microsoft ya ha publicado los parches correspondientes.

Qué son ResetNightmare y KerberLoss

Los dos fallos han sido bautizados como ResetNightmare (identificada como CVE-2026-27912) y KerberLoss (CVE-2026-25177). Ambas se clasifican como vulnerabilidades de escalada de privilegios: no sirven por sí solas para entrar en una red, pero una vez dentro permiten ir subiendo de nivel hasta obtener permisos de administración.

El mecanismo que explotan tiene que ver con la forma en que Active Directory identifica a usuarios y servicios. Según la explicación de Semperis, un atacante podía manipular ese proceso para que dos cuentas o servicios distintos aparecieran con el mismo nombre. Esa confusión de identidad abre varias puertas: interrumpir el acceso a sistemas críticos, forzar que la autenticación se realice mediante un método más débil o suplantar directamente a un usuario con privilegios elevados.

De las dos, la más grave es ResetNightmare, porque facilita que un atacante con permisos bajos termine tomando el control de todo un dominio. En un entorno corporativo eso equivale a tener las llaves de prácticamente todo: servidores de archivos, correo, aplicaciones internas y copias de seguridad.

Por qué Active Directory es un objetivo tan buscado

Shai Laron, el investigador de Semperis que detectó ambos fallos, sitúa el problema en el centro de la seguridad empresarial. "Active Directory sigue siendo el núcleo de la infraestructura empresarial y, para los actores de amenazas, el objetivo último está claro: conseguir privilegios de Administrador de Dominio", explica.

"Ese nivel de privilegio otorga en la práctica el control total sobre el entorno de una organización", señala Laron, que añade que "la protección de la identidad juega un papel esencial en la seguridad empresarial" y que por eso las empresas dedican esfuerzos considerables a impedir que los atacantes se hagan con las credenciales de sus administradores.

El razonamiento es sencillo: si un atacante consigue el nivel de administrador de dominio, deja de necesitar exploits. Puede moverse por la red con credenciales legítimas, lo que complica enormemente la detección. Semperis advierte de que el resultado habitual de este tipo de compromisos es el robo de información sensible o el despliegue de malware a gran escala, y menciona expresamente el ransomware, el software que cifra los datos de una organización para pedir un rescate.

A quién afecta y qué conviene hacer

El problema no afecta al usuario doméstico, sino a cualquier organización que utilice Active Directory como sistema de identidad, desde pymes con un único servidor hasta grandes corporaciones con decenas de dominios. Y en España el parque de servidores Windows con Active Directory es amplísimo, también en administraciones públicas y centros educativos.

La recomendación en estos casos es la habitual, pero merece la pena repetirla:

• Aplicar los parches publicados por Microsoft cuanto antes, empezando por los controladores de dominio.
• Revisar qué cuentas tienen permisos elevados y reducir al mínimo imprescindible los privilegios de administración.
• Vigilar los registros de autenticación en busca de comportamientos anómalos, como cuentas que solicitan accesos inhabituales.
• Comprobar que las copias de seguridad del propio directorio existen y se pueden restaurar, porque en un ataque de ransomware el directorio también es una víctima.

Que las vulnerabilidades ya estén corregidas no significa que el riesgo haya desaparecido. La ventana peligrosa se abre precisamente cuando el fallo se hace público: los detalles técnicos circulan y muchas organizaciones tardan semanas o meses en actualizar sus servidores, especialmente los controladores de dominio, que suelen tocarse con cautela por miedo a interrumpir servicios.

El caso encaja además en una tendencia que se repite: cada vez más incidentes graves no empiezan con la ruptura de un cifrado, sino con el abuso de la identidad y los permisos. Lo hemos visto tanto en el fraude dirigido a usuarios, con iniciativas como el aviso de estafas que prueba WhatsApp, como en escenarios más sofisticados, entre ellos ataques coordinados por agentes de inteligencia artificial. La identidad se ha convertido en el perímetro real de las empresas.