Una nueva brecha en el ecosistema Windows pone en riesgo las credenciales corporativas
Recientemente, investigadores de ciberseguridad han revelado detalles sobre una vulnerabilidad crítica, aún sin parchear, que afecta al manejador de protocolos URI de Windows Search. Este fallo permite a un atacante remoto obtener el hash NTLMv2 de un usuario, lo que podría abrir la puerta a ataques de suplantación de identidad y acceso no autorizado a redes empresariales.
¿En qué consiste esta vulnerabilidad?
El problema reside en cómo Windows gestiona los enlaces que comienzan con el prefijo search:. Al igual que ocurrió con vulnerabilidades anteriores en herramientas como Recortes (Snipping Tool), el sistema no valida correctamente las rutas proporcionadas en ciertos parámetros.
Un atacante puede enviar un enlace especialmente diseñado a través de un correo electrónico de phishing o incluirlo en un sitio web malicioso. Si el usuario hace clic en el enlace y acepta su ejecución, el equipo intenta conectarse automáticamente a un servidor SMB (Server Message Block) controlado por el atacante. Durante este proceso de conexión, Windows envía el hash NTLMv2 del usuario para autenticarse, exponiendo así sus credenciales cifradas.
El riesgo técnico: Ataques de Relevo (Relay Attacks)
Para una organización, el robo de un hash NTLMv2 no es un incidente menor. Aunque el hash no es la contraseña en texto plano, los atacantes pueden utilizarlo en ataques de relevo (SMB Relay). En este escenario, el atacante intercepta el hash y lo reenvía a otro servicio dentro de la misma red para autenticarse como si fuera el usuario legítimo, logrando así un movimiento lateral y acceso a datos sensibles sin necesidad de descifrar la contraseña original.
La respuesta de Microsoft
A pesar de que la vulnerabilidad fue reportada de manera responsable en abril de 2026, Microsoft ha decidido, por el momento, no emitir un parche de seguridad. Según la compañía, el fallo ha sido calificado con una severidad «Moderada», y su política actual prioriza la resolución de casos clasificados como «Importantes» o «Críticos». Esta decisión deja a millones de sistemas Windows expuestos a este vector de ataque específico.
Recomendaciones de mitigación para empresas
Ante la ausencia de una actualización oficial, desde el equipo de ciberseguridad de Intedya recomendamos a los administradores de sistemas y responsables de seguridad implementar las siguientes medidas preventivas:
- Bloquear el tráfico SMB saliente: Restringir los puertos TCP 445 y 139 hacia el exterior en aquellos equipos que no requieran conexiones SMB externas.
- Forzar la firma SMB: Implementar la firma digital en las comunicaciones SMB para evitar que los hashes capturados puedan ser reutilizados en ataques de relevo dentro de la red interna.
- Deshabilitar NTLM: Siempre que sea posible, migrar hacia protocolos de autenticación más seguros como Kerberos y deshabilitar el uso de NTLM en el entorno corporativo.
- Concienciación: Reforzar la formación de los empleados sobre los riesgos de hacer clic en enlaces sospechosos, incluso si parecen invocar funciones internas del sistema.
La seguridad proactiva es fundamental cuando los fabricantes deciden no corregir vulnerabilidades conocidas. Mantener una configuración de red robusta es la mejor defensa frente a estas amenazas persistentes.
Fuentes
- The Hacker News — Unpatched Windows Search URI Vulnerability Lets Attackers Steal NTLMv2 Hashes
https://thehackernews.com/2026/06/unpatched-windows-search-uri.html