Publicado en

CVE-2026-47301: Por qué esta vulnerabilidad en SCCM es crítica para la infraestructura empresarial

•Publicado enVulnerabilidades

Más allá de una simple elevación de privilegios: El riesgo real en Microsoft Configuration Manager

En el ámbito de la ciberseguridad corporativa, existen vulnerabilidades que, bajo una descripción técnica estándar, pueden parecer menores de lo que realmente representan para la continuidad de negocio. Un ejemplo reciente y alarmante es la CVE-2026-47301, que afecta a Microsoft Configuration Manager, anteriormente conocido como SCCM.

Publicada originalmente en julio de 2026 con una puntuación CVSS de 8.8, Microsoft la categorizó inicialmente como una vulnerabilidad de Improper Access Control (control de acceso inadecuado). Sin embargo, investigaciones recientes han demostrado que, mediante el encadenamiento de fallos, un atacante con privilegios mínimos puede alcanzar la ejecución de código con el máximo nivel de privilegios: SYSTEM.

¿Por qué SCCM es un objetivo de alto valor?

Para cualquier organización, el servidor de SCCM es el «cerebro» que administra miles de dispositivos finales (endpoints). Si un atacante logra comprometer el Primary Site Server, no solo accede a un servidor más; obtiene una posición privilegiada desde la cual puede distribuir software, modificar configuraciones o ejecutar comandos en prácticamente cualquier equipo de la red corporativa.

Anatomía del ataque: El encadenamiento de fallos

Lo que hace peligrosa a la CVE-2026-47301 no es un único error «mágico», sino cómo se pueden combinar varias debilidades del sistema:

  • Acceso Inicial: Un fallo en la API AdminService permite a un usuario autenticado saltarse ciertas restricciones de autorización.
  • Manipulación de Archivos CAB: El sistema permite la subida de extensiones en formato CAB. Debido a una validación insuficiente, un atacante puede usar técnicas de path traversal para escribir archivos en directorios donde no debería tener acceso.
  • DLL Hijacking: Al colocar archivos maliciosos en rutas específicas, el atacante logra que el servicio legítimo de SCCM (SMS_EXECUTIVE) cargue código malicioso al reiniciarse o al ejecutar ciertas tareas, otorgando control total bajo el contexto de SYSTEM.

Impacto en el entorno empresarial

Un atacante con una cuenta de usuario básica y conectividad a la infraestructura de gestión podría, en teoría, tomar el control total del servidor primario. Esto anula las fronteras de privilegios y expone toda la infraestructura administrada a despliegues de malware, ransomware o exfiltración masiva de datos.

Recomendaciones y Contramedidas

Desde Intedya, instamos a los responsables de infraestructura y seguridad a tomar las siguientes medidas preventivas inmediatas:

  1. Actualización Urgente: Microsoft ha lanzado parches específicos. Es fundamental verificar que su instancia de Configuration Manager esté actualizada a las versiones que incluyen las correcciones KB37864969 o KB38232642, según corresponda a su rama de despliegue.
  2. Segmentación de Red: Limite el acceso a los endpoints de AdminService únicamente a los administradores legítimos mediante firewalls o listas de control de acceso (ACL).
  3. Auditoría de Permisos en Active Directory: Revise quién tiene permisos elevados (como GenericAll o FullControl) sobre el contenedor System Management en su Directorio Activo.
  4. Monitorización Activa: Implemente reglas en su EDR/SIEM para detectar la creación inesperada de archivos en los directorios de instalación de SCCM y cargas anómalas de librerías DLL por parte del proceso SMS_EXECUTIVE.

La seguridad de las herramientas de administración es el pilar de la resiliencia digital. No ignore las actualizaciones de infraestructura crítica; un parche a tiempo es la mejor defensa contra ataques sofisticados.

Fuentes