Semperis, la empresa de ciberresiliencia y respuesta ante crisis impulsada por la identidad, ha anunciado que Shai Laron, investigador de seguridad de la compañía, ha descubierto dos vulnerabilidades críticas de escalada de privilegios en Active Directory (AD) que podrían dar a los actores de amenazas un punto de apoyo para el compromiso total del dominio, permitiéndoles moverse lateralmente, establecer persistencia, debilitar la autenticación, interrumpir servicios críticos, robar datos sensibles y, potencialmente, desplegar ransomware en toda la organización. Laron presentó recientemente sus hallazgos ante grandes audiencias en las conferencias Black Hat y DEF CON de 2026.

Denominadas ResetNightmare (CVE-2026-27912) y KerberLoss (CVE-2026-25177), estas vulnerabilidades de Active Directory podrían permitir a los atacantes manipular cómo el sistema de identidad de una organización reconoce a los usuarios y los servicios. Las vulnerabilidades se aprovechan de caracteres Unicode ocultos y de debilidades en la validación de nombres de Active Directory. Microsoft parcheó KerberLoss en marzo de 2026 y ResetNightmare en abril de 2026. Las organizaciones también pueden utilizar la auditoría de Active Directory, incluyendo el ID de evento de seguridad 5136, para identificar cambios sospechosos en el directorio.

Explicado de forma sencilla, los atacantes podrían hacer que dos cuentas o servicios diferentes parezcan tener el mismo nombre. Esta confusión de identidad podría interrumpir el acceso a sistemas críticos para el negocio, obligar a algunos servicios a utilizar un método de autenticación más débil o ayudar a un atacante a suplantar a un usuario con altos privilegios. ResetNightmare es la más grave de las dos vulnerabilidades porque, bajo ciertas condiciones, podría permitir a un atacante con bajos privilegios tomar el control de todo un dominio de Active Directory.

“Active Directory sigue siendo el centro de la infraestructura empresarial y, para los actores de amenazas, el máximo objetivo está claro: obtener privilegios de Administrador de Dominio», ha señalado Laron. «Este nivel de privilegio otorga eficazmente el control total sobre el entorno de una organización. Por lo tanto, la protección de la identidad juega un papel integral en la seguridad empresarial, y las organizaciones invierten grandes esfuerzos en evitar que los atacantes obtengan acceso a las credenciales de los administradores”.

«El excepcional descubrimiento de Shai de las vulnerabilidades ResetNightmare y KerberLoss en Active Directory revela cómo una sutil confusión de identidad en AD puede conducir a una degradación de la autenticación, una denegación de servicio e incluso la toma de control total del dominio«, ha indicado Tomer Bar, AVP de Investigación de Seguridad de Semperis. «Su trabajo ofrece a los defensores una perspectiva crítica sobre las amenazas de identidad emergentes y ayuda a las organizaciones a fortalecer sus entornos antes de que los atacantes puedan explotarlas».

Microsoft calificó las vulnerabilidades ResetNightmare y KerberLoss como vulnerabilidades importantes de elevación de privilegios en su sistema de etiquetas de gravedad. Semperis califica ambas vulnerabilidades como un riesgo GRAVE para las organizaciones.

La investigación de Laron subraya la importancia de tratar los sistemas de identidad como un límite de seguridad crítico. Los atacantes no siempre necesitan robar la contraseña de un administrador si pueden manipular los sistemas que deciden quién tiene permitido acceder a los recursos críticos.