Microsoft corrigió en su Patch Tuesday de septiembre de 2026 una vulnerabilidad use-after-free (CWE-416) en Windows Deployment Services (WDS) que permite a un atacante autorizado ejecutar código de forma remota a través de la red. El fallo afecta a Windows 10 (1607 y 1809) y a Windows Server 2012, 2016, 2019, 2022 y 2025, con un CVSS de 7.5.
El CSIRT Nacional de Chile emitió una alerta de vulnerabilidad crítica señalando este CVE como relevante para la infraestructura chilena. Aunque la probabilidad de explotación real en los próximos 30 días es baja según EPSS (0.6%), se recomienda aplicar los parches de septiembre de 2026 en equipos que expongan WDS, especialmente servidores de despliegue de imágenes en redes corporativas.
| CVE | CVE-2026-72943 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| EPSS | 0.6% en 30 días (percentil 48) |
| CWE | CWE-416 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
microsoft/windows_10_1607microsoft/windows_10_1809microsoft/windows_server_2012microsoft/windows_server_2016microsoft/windows_server_2019microsoft/windows_server_2022microsoft/windows_server_2025