Nota
- Fecha de publicación original: 13 de enero de 2026
- Id. de KB: 5073381
En este artículo
- Resumen
- Tomar la iniciativa
- Cronograma de las actualizaciones
- Guías de implementación
- Configuración del Registro
- Eventos de auditoría
- Preguntas más frecuentes
- Recursos
- Registro de cambios
Resumen
Las actualizaciones de Windows publicadas el 13 de enero de 2026 y después contienen protecciones para una vulnerabilidad con el protocolo de autenticación Kerberos. Las actualizaciones de Windows solucionan una vulnerabilidad de divulgación de información en CVE-2026-20833 que podría permitir a un atacante obtener vales de servicio con tipos de cifrado débiles o heredados, como RC4, para realizar ataques sin conexión y recuperar una contraseña de cuenta de servicio.
Para mitigar esta vulnerabilidad, las actualizaciones de Windows publicadas a partir del 14 de abril de 2026 cambian el valor predeterminado del Centro de distribución de claves Kerberos (KDC) para DefaultDomainSupportedEncTypes, a menos que los administradores habiliten antes el modo de cumplimiento. Los controladores de dominio actualizados que se ejecuten en modo de cumplimiento solo asumirán la compatibilidad con las configuraciones de tipo de cifrado Advanced Encryption Standard (AES) si no se especifica ninguna configuración explícita. Para obtener más información, consulte Marcas de bits de tipos de cifrado admitidos. El valor predeterminado de DefaultDomainSupportedEncTypes se aplica en ausencia de un valor explícito.
En los controladores de dominio con un valor de registro DefaultDomainSupportedEncTypes definido, estos cambios no afectarán funcionalmente al comportamiento. Sin embargo, se registrará un evento de auditoría con el id. de evento KDCSVC: 205 en el registro de eventos del sistema si la configuración DefaultDomainSupportedEncTypes existente no es segura (por ejemplo, cuando se usa un cifrado RC4).
Tomar la iniciativa
Para ayudar a proteger el entorno y evitar interrupciones, se recomienda que:
- ACTUALIZACIÓN Controladores de dominio de Microsoft Active Directory a partir de las actualizaciones de Windows publicadas el 13 de enero de 2026 o después.
- SUPERVISE el registro de eventos del sistema para cualquiera de los nueve eventos de auditoría KDCSVC 201 > 209 registrados en Windows Server 2012 y controladores de dominio más recientes que identifican riesgos con la habilitación de protecciones RC4.
- MITIGAR Eventos KDCSVC registrados en el registro de eventos del sistema que impiden la habilitación manual o mediante programación de las protecciones RC4.
- HABILITAR Modo de cumplimiento para abordar las vulnerabilidades abordadas en CVE-2026-20833 en su entorno cuando ya no se registran eventos de advertencia, bloqueo o directiva.
Nota
IMPORTANTE La instalación de actualizaciones publicadas el 13 de enero de 2026 o después NO solucionará las vulnerabilidades descritas en CVE-2026-20833 para los controladores de dominio de Active Directory de forma predeterminada. Para mitigar completamente la vulnerabilidad, debe habilitar manualmente el modo de cumplimiento (descrito en el Paso 3: HABILITAR) en todos los controladores de dominio. La instalación de las Novedades de Windows publicadas a partir de julio de 2026 habilitará mediante programación la fase de cumplimiento.
El modo de cumplimiento se habilitará automáticamente instalando las Novedades de Windows publicadas a partir de abril de 2026 en todos los controladores de dominio de Windows y bloqueará las conexiones vulnerables desde dispositivos no compatibles. En ese momento, no podrá deshabilitar la auditoría, pero puede volver a la configuración del modo auditoría. El modo auditoría se quitará en julio de 2026, como se describe en la sección Calendario de las actualizaciones , y el modo de cumplimiento se habilitará en todos los controladores de dominio de Windows y bloqueará las conexiones vulnerables de los dispositivos no compatibles.
Si necesita usar RC4 después de abril de 2026, se recomienda habilitar explícitamente RC4 dentro de la máscara de bits msds-SupportedEncryptionTypes en los servicios que necesitarán aceptar el uso de RC4.
Cronograma de las actualizaciones
13 de enero de 2026: fase de implementación inicial
La fase de implementación inicial comienza con las actualizaciones publicadas el 13 de enero de 2026 y continúa con las actualizaciones posteriores de Windows hasta la fase de cumplimiento . Esta fase es para advertir a los clientes de las nuevas medidas de seguridad que se introducirán en la segunda fase de implementación. Esta actualización:
- Proporciona eventos de auditoría para advertir a los clientes que podrían verse afectados negativamente por la próxima protección de seguridad.
- Introduce compatibilidad con el valor del Registro RC4DefaultDisablementPhase después de que un administrador habilite proactivamente el cambio estableciendo el valor en 2 en controladores de dominio cuando los eventos de auditoría KDCSVC indiquen que es seguro hacerlo.
14 de abril de 2026: fase de cumplimiento con reversión manual
Esta actualización cambia el valor predeterminado de DefaultDomainSupportedEncTypes para las operaciones de KDC con el fin de aprovechar AES-SHA1 para las cuentas que no tienen definido un atributo explícito de Active Directory msds-SupportedEncryptionTypes .
Esta fase cambia el valor predeterminado de DefaultDomainSupportedEncTypes a AES-SHA1 solo: 0x18.
Esta fase también permite la configuración manual del valor de reversión RC4DefaultDisablementPhase hasta la aplicación mediante programación en julio de 2026.
Julio de 2026: fase de cumplimiento
Las actualizaciones de Windows publicadas en julio de 2026 quitarán la compatibilidad con la subclave del Registro RC4DefaultDisablementPhase.
Guías de implementación
Para implementar las actualizaciones de Windows publicadas el 13 de enero de 2026 o después, siga estos pasos:
- ACTUALICE los controladores de dominio con una actualización de Windows publicada el 13 de enero de 2026 o después.
- SUPERVISE los eventos registrados durante la fase de implementación inicial para ayudar a proteger su entorno.
- MUEVA los controladores de dominio al modo de cumplimiento mediante la sección Configuración del Registro .
Paso 1: ACTUALIZAR
Implementa la actualización de Windows publicada el 13 de enero de 2026 o después en todos los Windows Active Directory aplicables que se ejecuten como controlador de dominio después de implementar la actualización.
- Los eventos de auditoría aparecerán en los registros de eventos del sistema si los controladores de dominio de Windows Server 2012 o posteriores reciben solicitudes de vales de servicio Kerberos que requieren el uso del cifrado RC4, pero la cuenta de servicio tiene una configuración de cifrado predeterminada.
- El evento de auditoría 205 se registrará en el registro de eventos del sistema si el controlador de dominio tiene una configuración explícita DefaultDomainSupportedEncTypes para permitir el cifrado RC4.
Paso 2: SUPERVISAR
Una vez actualizados los controladores de dominio, si no ve eventos de auditoría documentados en este artículo, cambie al modo de cumplimiento cambiando el valor del Registro RC4DefaultDisablementPhase a 2.
Si se generan eventos de auditoría, tendrá que quitar las dependencias de RC4 o configurar explícitamente el atributo msds-SupportedEncryptionTypes de las cuentas para admitir el uso continuado de RC4 tras la habilitación manual o automática del modo de cumplimiento .
Para los administradores que estén interesados en corregir el uso de RC4 de forma más amplia de lo que se describe en este artículo, se recomienda revisar Detectar y corregir el uso de RC4 en Kerberos para obtener más información.
Nota
IMPORTANTE Los eventos de auditoría relacionados con este cambio solo se generan cuando Active Directory no puede emitir vales de servicio AES-SHA1 o claves de sesión. La ausencia de eventos de auditoría no garantiza que todos los dispositivos que no sean Windows acepten correctamente la autenticación Kerberos después de la actualización de abril. Los clientes deben validar la interoperabilidad que no es de Windows mediante pruebas antes de habilitar este comportamiento de forma amplia.
Paso 3: HABILITAR
Habilite el modo de cumplimiento para abordar las vulnerabilidades CVE-2026-20833 en su entorno.
- Si se solicita a un KDC que proporcione un vale de servicio RC4 para una cuenta con configuraciones predeterminadas, se registrará un evento de error.
- Seguirá viendo un identificador de evento: 205 registrado para cualquier configuración no segura de DefaultDomainSupportedEncTypes.
Configuración del Registro
Después de instalar las actualizaciones de Windows publicadas el 13 de enero de 2026 o después, la siguiente clave de registro está disponible para el protocolo Kerberos.
RC4DefaultDisablementPhase
Esta clave del Registro se usa para validar la implementación de los cambios de Kerberos. Esta clave del Registro es temporal y ya no se leerá después de la fecha de aplicación.
| Clave del registro | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
|---|---|
| Tipo de datos | REG_DWORD |
| Nombre del valor | RC4DefaultDisablementPhase |
| Datos del valor |
0 : sin auditoría, sin cambios 1 : los eventos de advertencia se registrarán en el uso predeterminado de RC4. (Valor predeterminado de la fase 1) 2 : Kerberos se iniciará suponiendo que RC4 no está habilitado de forma predeterminada. (Valor predeterminado de la fase 2) |
| ¿Es necesario reiniciar ? | Sí |
Eventos de auditoría
Después de instalar las actualizaciones de Windows publicadas el 13 de enero de 2026 o después, los siguientes tipos de eventos de auditoría KSCSVC se agregan al registro de eventos del sistema de Windows Server 2012 y versiones posteriores que se ejecutan como controlador de dominio.
En esta sección
- Id. de evento: 201
- Id. de evento: 202
- Id. de evento: 203
- Id. de evento: 204
- Id. de evento: 205
- Id. de evento: 206
- Id. de evento: 207
- Id. de evento: 208
- Id. de evento: 209
- Nota sobre el cambio implícito en la selección del cifrado de vales de servicio
Id. de evento: 201
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 201 |
| Texto del evento | El Centro de distribución de claves detectó <el uso de nombres> de cifrado que no se admitirán en la fase de aplicación porque msds-SupportedEncryptionTypes no está definido y el cliente solo admite tipos de cifrado no seguros. Información de la cuenta Nombre de cuenta: <Nombre de cuenta> Nombre del dominio suministrado: <Nombre del dominio suministrado> msds-SupportedEncryptionTypes: <tipos de cifrado admitidos> Claves disponibles: <Claves disponibles> Información del servicio: Nombre del servicio: <Nombre del servicio> Id. del servicio: <SID de servicio> msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por el servicio> Claves disponibles: <Servicio Claves disponibles> Información del controlador de dominio: msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por controladores de dominio> DefaultDomainSupportedEncTypes: <valor de DefaultDomainSupportedEncTypes> Claves disponibles: <Controlador de dominio Claves disponibles> Información de red: Dirección del cliente: <Dirección IP del cliente> Puerto de cliente: <Puerto de cliente> Tipos de correo electrónico anunciados: <Tipos de cifrado Kerberos anunciados> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | Id. de evento: 201 se registrará si:
|
Id. de evento: 202
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 202 |
| Texto del evento | El Centro de distribución de claves detectó <el uso de nombres> de cifrado que no se admitirá en la fase de aplicación porque el servicio msds-SupportedEncryptionTypes no está definido y la cuenta de servicio solo tiene claves no seguras. Información de la cuenta Nombre de cuenta: <Nombre de cuenta> Nombre del dominio suministrado: <Nombre del dominio suministrado> msds-SupportedEncryptionTypes: <tipos de cifrado admitidos> Claves disponibles: <Claves disponibles> Información del servicio: Nombre del servicio: <Nombre del servicio> Id. del servicio: <SID de servicio> msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por el servicio> Claves disponibles: <Servicio Claves disponibles> Información del controlador de dominio: msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por controladores de dominio> DefaultDomainSupportedEncTypes: <valor de DefaultDomainSupportedEncTypes> Claves disponibles: <Controlador de dominio Claves disponibles> Información de red: Dirección del cliente: <Dirección IP del cliente> Puerto de cliente: <Puerto de cliente> Tipos de correo electrónico anunciados: <Tipos de cifrado Kerberos anunciados> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | El evento de advertencia 202 se registrará si:
|
Id. de evento: 203
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 203 |
| Texto del evento | El Centro de distribución de claves bloqueó el uso de cifrado porque el servicio msds-SupportedEncryptionTypes no está definido y el cliente solo admite tipos de cifrado no seguros. Información de la cuenta Nombre de cuenta: <Nombre de cuenta> Nombre del dominio suministrado: <Nombre del dominio suministrado> msds-SupportedEncryptionTypes: <tipos de cifrado admitidos> Claves disponibles: <Claves disponibles> Información del servicio: Nombre del servicio: <Nombre del servicio> Id. del servicio: <SID de servicio> msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por el servicio> Claves disponibles: <Servicio Claves disponibles> Información del controlador de dominio: msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por controladores de dominio> DefaultDomainSupportedEncTypes: <valor de DefaultDomainSupportedEncTypes> Claves disponibles: <Controlador de dominio Claves disponibles> Información de red: Dirección del cliente: <Dirección IP del cliente> Puerto de cliente: <Puerto de cliente> Tipos de correo electrónico anunciados: <Tipos de cifrado Kerberos anunciados> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | El evento de error 203 se registrará si:
|
Id. de evento: 204
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 204 |
| Texto del evento | El Centro de distribución de claves bloqueó el uso de cifrado porque el servicio msds-SupportedEncryptionTypes no está definido y la cuenta de servicio solo tiene claves no seguras. Información de la cuenta Nombre de cuenta: <Nombre de cuenta> Nombre del dominio suministrado: <Nombre del dominio suministrado> msds-SupportedEncryptionTypes: <tipos de cifrado admitidos> Claves disponibles: <Claves disponibles> Información del servicio: Nombre del servicio: <Nombre del servicio> Id. del servicio: <SID de servicio> msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por el servicio> Claves disponibles: <Servicio Claves disponibles> Información del controlador de dominio: msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por controladores de dominio> DefaultDomainSupportedEncTypes: <valor de DefaultDomainSupportedEncTypes> Claves disponibles: <Controlador de dominio Claves disponibles> Información de red: Dirección del cliente: <Dirección IP del cliente> Puerto de cliente: <Puerto de cliente> Tipos de correo electrónico anunciados: <Tipos de cifrado Kerberos anunciados> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | El evento de error 204 se registrará si:
|
Id. de evento: 205
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 205 |
| Texto del evento | El Centro de distribución de claves detectó una habilitación explícita del cifrado en la configuración de directiva Tipos de cifrado compatibles con el dominio predeterminado. Cifrados: <cifrados inseguros habilitados> DefaultDomainSupportedEncTypes: <valor DefaultDomainSupportedEncTypes configurado> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | El evento de advertencia 205 se registrará si:
|
Id. de evento: 206
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 206 |
| Texto del evento | El Centro de distribución de claves detectó <el uso de nombres> de cifrado que no se admitirá en la fase de aplicación porque el servicio msds-SupportedEncryptionTypes está configurado para admitir solo AES-SHA1, pero el cliente no anuncia AES-SHA1 Información de la cuenta Nombre de cuenta: <Nombre de cuenta> Nombre del dominio suministrado: <Nombre del dominio suministrado> msds-SupportedEncryptionTypes: <tipos de cifrado admitidos> Claves disponibles: <Claves disponibles> Información del servicio: Nombre del servicio: <Nombre del servicio> Id. del servicio: <SID de servicio> msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por el servicio> Claves disponibles: <Servicio Claves disponibles> Información del controlador de dominio: msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por controladores de dominio> DefaultDomainSupportedEncTypes: <valor de DefaultDomainSupportedEncTypes> Claves disponibles: <Controlador de dominio Claves disponibles> Información de red: Dirección del cliente: <Dirección IP del cliente> Puerto de cliente: <Puerto de cliente> Tipos de correo electrónico anunciados: <Tipos de cifrado Kerberos anunciados> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | El evento de advertencia 206 se registrará si:
|
Id. de evento: 207
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 207 |
| Texto del evento | El Centro de distribución de claves detectó <el uso de nombres> de cifrado que no se admitirá en la fase de cumplimiento porque msds-SupportedEncryptionTypes está configurado para admitir solo AES-SHA1 pero la cuenta de servicio no tiene claves AES-SHA1. Información de la cuenta Nombre de cuenta: <Nombre de cuenta> Nombre del dominio suministrado: <Nombre del dominio suministrado> msds-SupportedEncryptionTypes: <tipos de cifrado admitidos> Claves disponibles: <Claves disponibles> Información del servicio: Nombre del servicio: <Nombre del servicio> Id. del servicio: <SID de servicio> msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por el servicio> Claves disponibles: <Servicio Claves disponibles> Información del controlador de dominio: msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por controladores de dominio> DefaultDomainSupportedEncTypes: <valor de DefaultDomainSupportedEncTypes> Claves disponibles: <Controlador de dominio Claves disponibles> Información de red: Dirección del cliente: <Dirección IP del cliente> Puerto de cliente: <Puerto de cliente> Tipos de correo electrónico anunciados: <Tipos de cifrado Kerberos anunciados> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | El evento de advertencia 207 se registrará si:
|
Id. de evento: 208
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 208 |
| Texto del evento | El Centro de distribución de claves denegó intencionadamente el uso de cifrado porque el servicio msds-SupportedEncryptionTypes está configurado para admitir solo AES-SHA1, pero el cliente no anuncia AES-SHA1 Información de la cuenta Nombre de cuenta: <Nombre de cuenta> Nombre del dominio suministrado: <Nombre del dominio suministrado> msds-SupportedEncryptionTypes: <tipos de cifrado admitidos> Claves disponibles: <Claves disponibles> Información del servicio: Nombre del servicio: <Nombre del servicio> Id. del servicio: <SID de servicio> msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por el servicio> Claves disponibles: <Servicio Claves disponibles> Información del controlador de dominio: msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por controladores de dominio> DefaultDomainSupportedEncTypes: <valor de DefaultDomainSupportedEncTypes> Claves disponibles: <Controlador de dominio Claves disponibles> Información de red: Dirección del cliente: <Dirección IP del cliente> Puerto de cliente: <Puerto de cliente> Tipos de correo electrónico anunciados: <Tipos de cifrado Kerberos anunciados> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | El evento de error 208 se registrará si:
|
Id. de evento: 209
| Registro de eventos | Sistema |
|---|---|
| Tipos de eventos | Advertencia |
| Origen del evento | Kdcsvc |
| Id. del evento | 209 |
| Texto del evento | El Centro de distribución de claves denegó intencionadamente el uso del cifrado porque el servicio msds-SupportedEncryptionTypes está configurado para admitir solo AES-SHA1, pero la cuenta de servicio no tiene claves AES-SHA1 Información de la cuenta Nombre de cuenta: <Nombre de cuenta> Nombre del dominio suministrado: <Nombre del dominio suministrado> msds-SupportedEncryptionTypes: <tipos de cifrado admitidos> Claves disponibles: <Claves disponibles> Información del servicio: Nombre del servicio: <Nombre del servicio> Id. del servicio: <SID de servicio> msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por el servicio> Claves disponibles: <Servicio Claves disponibles> Información del controlador de dominio: msds-SupportedEncryptionTypes: <Tipos de cifrado admitidos por controladores de dominio> DefaultDomainSupportedEncTypes: <valor de DefaultDomainSupportedEncTypes> Claves disponibles: <Controlador de dominio Claves disponibles> Información de red: Dirección del cliente: <Dirección IP del cliente> Puerto de cliente: <Puerto de cliente> Tipos de correo electrónico anunciados: <Tipos de cifrado Kerberos anunciados> Consulte https://go.microsoft.com/fwlink/?linkid=2344614 para obtener más información. |
| Comentarios | El evento de error 209 se registrará si:
|
Nota
Con respecto al cambio implícito en la selección del cifrado de vales de servicio, Microsoft tiene visibilidad limitada de los motivos por los que un dispositivo que no sea Windows puede no aceptar la autenticación Kerberos después de que los KDC apliquen la actualización de abril y pasen al comportamiento AES-SHA1 predeterminado cuando no se especifique. Se recomienda validar estos cambios mediante pruebas en su propio entorno antes de habilitar este comportamiento de forma general.
El lugar más común donde se encontrará esto es con dispositivos que aprovechan las pestañas de tecla Kerberos. Si la tabla de claves Kerberos solo se ha exportado con claves RC4, pero la cuenta de servicio de destino tiene claves AES-SHA1 y no tiene definido un msds-SupportedEncryptionTypes, existe la posibilidad de que se produzca un error de autenticación en dicho servicio. Lo más probable es que esto se manifieste en forma de errores de autenticación del servicio de destino en lugar del KDC.
Nuestra recomendación principal es trabajar con el proveedor del dispositivo que no es Windows. En general, los errores de los dispositivos que no son Windows para aceptar la autenticación Kerberos no son exclusivos de los cambios de abril y pueden deberse a limitaciones específicas del dispositivo o de la implementación.
Si se observan problemas de autenticación Kerberos en dispositivos que no son Windows después de este cambio y la corrección del proveedor no es factible, nuestras recomendaciones son las siguientes:
- En la cuenta de servicio afectada, defina explícitamente msDS-SupportedEncryptionTypes para incluir RC4 con claves de sesión AES (0x24).
- Si esto no es factible, como último recurso, configure manualmente el valor del Registro DefaultDomainSupportedEncTypes en todos los KDC relevantes para incluir RC4 con claves de sesión AES-SHA1 (0x24). Tenga en cuenta que esto deja todas las cuentas del dominio vulnerables a CVE-2026-20833.
Es importante tener en cuenta que esta configuración no es segura y nuestra recomendación a largo plazo es migrar los dispositivos que no sean Windows a versiones que admitan el cifrado de vales AES-SHA1 de Kerberos.
Preguntas más frecuentes
P1: ¿Cómo interactúa este cambio con los dominios que tienen KDC de terceros?
Este cambio de protección solo afecta a los controladores de dominio de Windows. El flujo de confianza y referencia de Kerberos con otros controladores de dominio de Windows o KDC de terceros no se ve afectado.
P2: ¿Cómo interactúa este cambio con los dominios que tienen dispositivos de dominio que no son de Windows?
Los dispositivos de dominio de terceros que no pueden procesar el cifrado AES-SHA1 ya deberían haberse configurado explícitamente para permitir el cifrado RC4. Los servicios que no pueden procesar vales AES-SHA1 deben corregirse o configurarse explícitamente en Active Diretory para proporcionar cifrado RC4 como se indicó anteriormente. Valida estos cambios a fondo.
P3: ¿Microsoft quitará la capacidad de configurar DefaultDomainSupportedEncTypes?
No. Registraremos eventos de advertencia para configuraciones no seguras para DefaultDomainSupportedEncTypes. Además, respetaremos cualquier configuración establecida explícitamente por un administrador.
Recursos
- KB5020805: Cómo administrar los cambios de protocolo Kerberos relacionados con CVE-2022-37967
- KB5021131: Cómo administrar los cambios de protocolo Kerberos relacionados con CVE-2022-37966
- Marcas de bits de tipos de cifrado admitidos
Registro de cambios
| Cambiar fecha | Cambiar descripción |
|---|---|
| 14 de abril de 2026 |
|
| 7 de abril de 2026 |
|
| 16 de marzo de 2026 |
|
| 10 de febrero de 2026 |
|