Microsoft corrigió en su Patch Tuesday de septiembre de 2026 una vulnerabilidad crítica de tipo use-after-free (CWE-416) en el driver ONCRPC XDR de Windows Services for NFS, registrada como CVE-2026-78445. Un atacante no autenticado puede explotarla a través de la red para ejecutar código arbitrario, lo que la convierte en un riesgo serio para servidores expuestos. Afecta a Windows Server 2012, 2016, 2019, 2022 y 2025.
El CSIRT Nacional de Chile emitió una alerta de vulnerabilidad crítica, señalando su relevancia para la infraestructura chilena. Aunque la probabilidad de explotación real en los próximos 30 días es baja según EPSS (0,9%), el impacto potencial es máximo, por lo que se recomienda aplicar los parches de inmediato.
| CVE | CVE-2026-78445 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 0.9% en 30 días (percentil 57) |
| CWE | CWE-416 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
microsoft/windows_server_2012microsoft/windows_server_2016microsoft/windows_server_2019microsoft/windows_server_2022microsoft/windows_server_2025