Semperis muestra cómo dos fallos lógicos de Kerberos pueden convertir a cualquier usuario del dominio en administrador del dominio: La investigación de un especialista de Semperis partió de caracteres Unicode «invisibles» en objetos de Active Directory y terminó en dos fallos lógicos de Kerberos: uno capaz de degradar la autenticación a NTLM sin ser detectado, el otro que permite a cualquier usuario de dominio restablecer la contraseña de un administrador de dominio sin conocerla jamás.
La investigación detrás de KerberLoss (CVE-2026-25177) y ResetNightmare (CVE-2026-27912), presentada por el investigador de Semperis Shai Laron en Black Hat USA 2026, no comenzó como la búsqueda de un exploit para Kerberos. Comenzó con una charla sobre cómo los atacantes ocultan cuentas maliciosas usando caracteres Unicode que Active Directory no renderiza, y terminó en dos fallos lógicos que permiten a un usuario con privilegios bajos interrumpir la autenticación del dominio, forzar una caída al antiguo protocolo NTLM o tomar el control total como administrador de dominio.
Cuerpo del artículo
De un truco de persistencia a un fallo de protocolo. El punto de partida de Laron fue una charla del investigador Yossi Sassi sobre técnicas de persistencia en Active Directory, que mostraba cómo caracteres Unicode «invisibles» insertados en atributos de objetos pueden hacer que una cuenta maliciosa parezca idéntica a una legítima en las herramientas administrativas. Con curiosidad por saber si el servidor LDAP de Active Directory trataba de igual forma otros caracteres invisibles, Laron compiló una lista de 385 caracteres Unicode candidatos y probó cada uno contra un controlador de dominio en producción. De ellos, solo 106 podían filtrarse de forma fiable en consultas LDAP; el resto se trataba como espacio en blanco o era ignorado directamente por el servicio de directorio, una brecha que persistió incluso tras experimentar con extensiones de ordenación específicas de idioma en LDAP.
Evadiendo las comprobaciones de unicidad. Esa brecha resultó relevante debido a un parche de Microsoft de 2021 (CVE-2021-42282) que introdujo comprobaciones de unicidad a nivel de bosque para tres valores: nombres principales de usuario (UPN), nombres principales de servicio (SPN) y alias de SPN. Normalmente, un usuario con privilegios bajos que intenta establecer un valor duplicado es bloqueado. Pero como los caracteres Unicode no filtrables son invisibles para la comprobación de unicidad mientras son ignorados por las consultas LDAP, Laron pudo registrar valores que aparentan ser idénticos a los existentes sin activar el bloqueo: el mecanismo detrás de KerberLoss.
Tres formas de explotarlo. Laron demostró tres impactos prácticos de esta confusión de SPN, todos alcanzables con solo permisos WriteSPN sobre un único objeto de equipo o usuario en cualquier parte del bosque. Primero, un atacante puede interrumpir cualquier servicio asociado al SPN de clase HOST predeterminado de una máquina —como recursos compartidos de archivos o Escritorio Remoto— registrando un SPN en conflicto en otro lugar, lo que provoca que el ticket de servicio de Kerberos se cifre con la clave equivocada y falle el acceso. Segundo, basándose en una técnica de delegación de Kerberos descrita previamente por el investigador Elad Shamir, un atacante puede secuestrar rutas de confianza de delegación restringida sin necesitar siquiera acceso de escritura sobre el servidor intermedio. Tercero, y especialmente relevante para los defensores, duplicar exactamente un SPN explícito provoca que el controlador de dominio devuelva un error de principal ambiguo, forzando silenciosamente al servicio afectado a caer de Kerberos a NTLM —un protocolo antiguo explotado desde hace tiempo para ataques de relay y robo de credenciales— mientras los usuarios no perciben ninguna interrupción visible.
El hallazgo clave: abusar del cambio de contraseña. Laron intentó después revivir la lógica de las vulnerabilidades «Dollar Ticket» y noPac de 2021 (CVE-2021-42287, CVE-2021-42278), que habían permitido a atacantes suplantar cualquier cuenta mediante confusión de nombres, antes de que Microsoft cerrara la brecha con una verificación obligatoria de PAC_REQUESTOR_SID. Esa verificación se ejecuta durante el intercambio estándar de concesión de tickets de servicio, pero Laron descubrió que el protocolo de cambio de contraseña de Kerberos (RFC 3244, servido por el puerto 464) omite por completo ese intercambio, pasando directamente de un ticket de concesión de tickets a una solicitud autenticada. La verificación diseñada para evitar la suplantación de nombres simplemente nunca se activa en esa ruta.
Explotarlo no requería más que un permiso que todo usuario de dominio posee por defecto: modificar su propio nombre principal de usuario (UPN). Un atacante establece su propia UPN igual al SamAccountName de un objetivo —el de un administrador de dominio, por ejemplo—, algo que Active Directory permite porque las dos cadenas no son técnicamente idénticas. Solicitar un ticket para el cambio de contraseña usando esa UPN y la propia contraseña del atacante devuelve un ticket que, criptográficamente, sigue vinculado a la cuenta del atacante, pero lleva el nombre del administrador objetivo. Ese ticket basta para restablecer por completo la contraseña del objetivo, sin necesidad de conocer la original. El único requisito real es que la contraseña del objetivo tenga una antigüedad superior al mínimo predeterminado de un día en Active Directory, un umbral que prácticamente cualquier cuenta supera. El investigador Andrea Pierini aportó un refinamiento adicional, mostrando que la técnica puede combinarse con el método Shadow Credentials para una ruta de ataque más sigilosa a través de cuentas de equipo con permisos de escritura. Semperis publicó posteriormente una herramienta de código abierto en PowerShell, ResetNightmare, que automatiza toda la cadena de ataque.
Detección y respuesta. Los clientes de la plataforma Directory Services Protector de Semperis obtienen nuevos indicadores que cubren comprobaciones de unicidad desactivadas, caracteres Unicode ocultos en objetos de directorio y escrituras no autorizadas de SPN o UPN. Para las organizaciones sin esa herramienta, Semperis recomienda habilitar la auditoría SACL en los controladores de dominio: el ID de evento de seguridad de Windows 5136 registrará la adición de un SPN en conflicto (evidencia de KerberLoss) o de una UPN que coincide con el SamAccountName de otra cuenta (evidencia de ResetNightmare).
Divulgación y estado de los parches. Semperis reportó KerberLoss al Centro de Respuesta de Seguridad de Microsoft el 26 de noviembre de 2025, y ResetNightmare el 17 de diciembre de 2025; ambos se confirmaron en enero de 2026. Microsoft publicó las correcciones en su ciclo habitual de Patch Tuesday —KerberLoss el 10 de marzo y ResetNightmare el 14 de abril— calificando a ambas como «Importantes» en lugar de «Críticas», una clasificación ante la que Semperis advierte: puede hacer que las organizaciones que priorizan estrictamente por gravedad pasen por alto las actualizaciones. Más allá de parchear todos los controladores de dominio, Semperis recomienda auditar qué cuentas tienen permisos WriteSPN o delegaciones innecesarias y aplicar el principio de mínimo privilegio para reducir el radio de impacto incluso en sistemas sin parchear.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de