Nota
- Fecha de publicación original: 13 de enero de 2026
- Id. de KB: 5074952
En este artículo
- Introducción
- Resumen
- Escala de tiempo de los cambios
- ¡Toma medidas!
- Registro de eventos
- Resumen de los pasos de acción (enero - abril de 2026)
- Registro de cambios
Introducción
Servicios de implementación de Windows (WDS) admite la implementación basada en la red de sistemas operativos Windows. Una característica de uso común, la implementación de manos libres, se basa en un archivo de respuesta (también conocido como archivo Unattend.xml) para automatizar las pantallas de instalación, incluidas las credenciales.
Nota
- RIESGO DE SEGURIDAD: Cuando un archivo unattend.xml se transmite a través de un canal RPC no autenticado (no seguro), puede exponer datos confidenciales y crear un riesgo potencial de robo de credenciales o ejecución remota de código. Los atacantes de la misma red pueden interceptar este archivo, lo que provoca que las credenciales se vean comprometidas o se ejecute código de forma remota.
- Para reforzar la seguridad, Microsoft quitará la compatibilidad con la implementación de manos libres por canales inseguros. Este cambio se implementará en dos fases.
Resumen
Para mitigar una vulnerabilidad potencial y un riesgo de seguridad, y para reforzar la seguridad, Microsoft está quitando la compatibilidad con la implementación de manos libres a través de canales inseguros de forma predeterminada.
Para obtener más información sobre la vulnerabilidad, consulte CVE-2026-0386.
Nota
IMPORTANTE: Esta vulnerabilidad no afecta a Microsoft Configuration Manager. El problema solo se aplica a escenarios nativos de Servicios de implementación de Windows (WDS) en los que se hace referencia a un archivo Unattend.xml y se expone a través del recurso compartido RemoteInstall . Administrador de configuración no depende de este mecanismo y utiliza WDS únicamente para proporcionar archivos boot.wim y de arranque de red (NBP), que no se ven afectados.
Escala de tiempo de los cambios
Microsoft implementará los cambios de protección en dos fases.
Fase 1 (13 de enero de 2026): La implementación de manos libres sigue siendo compatible y se puede deshabilitar explícitamente para mejorar la seguridad.
- Se introdujeron las alertas del registro de eventos.
- Opciones de clave del Registro disponibles para elegir el modo seguro o inseguro.
Fase 2 (14 de abril de 2026): La implementación de manos libres está deshabilitada de forma predeterminada, pero se puede volver a habilitar, si es necesario, con una comprensión de los riesgos de seguridad asociados
- El comportamiento predeterminado cambia a seguro por defecto.
- La implementación de manos libres ya no funcionará a menos que se anule explícitamente con la configuración del Registro.
¡Toma medidas!
Nota
IMPORTANTE: Si no se realiza ninguna acción (no se agrega ninguna clave de registro) entre enero y abril de 2026, la implementación de manos libres se bloqueará después de la actualización de seguridad de abril de 2026.
En esta sección:
Fase 1 (13 de enero de 2026)
Opción 1: Habilitar el comportamiento seguro (recomendado)
Para habilitar la mitigación de la vulnerabilidad como se describe en CVE-2026-0386 y asegurarse de que su dispositivo sea seguro, aplique la actualización de Windows publicada el 13 de enero de 2026 o después. A continuación, aplique la siguiente configuración del Registro para aplicar un comportamiento seguro.
| Ubicación del registro | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Providers\WdsImgSrv\Unattend |
|---|---|
| Nombre DWORD | AllowHandsFreeFunctionality |
| Datos del valor |
00000000
|
| Notas |
|
Opción 2: Continuar con la implementación de manos libres (no seguro) (no recomendado)
Si desea seguir usando la implementación de manos libres, establezca el valor de clave del Registro en 1:
| Ubicación del registro | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Providers\WdsImgSrv\Unattend |
|---|---|
| Nombre DWORD | AllowHandsFreeFunctionality |
| Datos del valor |
00000001
|
| Nota | Si no se realiza ninguna acción (no se agrega ninguna clave del Registro) entre enero y abril, después de la actualización de seguridad de abril, se bloqueará la implementación de manos libres. |
Opciones y comportamiento de las claves del Registro
En la tabla siguiente se explica el comportamiento de establecer el valor AllowHandsFreeFunctionality en el registro.
| Valor del Registro | Moda | Comportamiento | Impacto futuro |
|---|---|---|---|
| Ausente (predeterminado) | Inseguro | Las manos libres funcionan, pero son inseguras. Mensajes de registro de eventos emitidos | Romperá las manos libres en la versión futura |
| DWORD:00000000 | Seguro | Bloquea el acceso no autenticado, se deshabilitará la implementación de manos libres | Ningún cambio: el acceso no autenticado seguirá bloqueado y la implementación manos libres permanecerá deshabilitada. |
| DWORD:00000001 | Inseguro | Manos libres conservado, pero inseguro | No hay ningún cambio: la implementación de manos libres permanecerá habilitada, pero no será segura. |
Nota
NOTA En futuras actualizaciones de Windows, el valor predeterminado de AllowHandsFreeFunctionality aplicará el modo seguro a menos que se invalide.
Fase 2 (14 de abril de 2026)
La implementación de manos libres está totalmente deshabilitada en una configuración segura de manera predeterminada. Los administradores pueden invalidar la configuración al comprender los riesgos de seguridad asociados.
Nota
ACTUALIZACIÓN Los cambios mencionados anteriormente se han implementado a través de las Novedades de Windows publicadas el 14 de abril de 2026 y después. Después de esta actualización, ya no se admiten escenarios de implementación de manos libres mediante WDS. Aunque se ha documentado un enfoque alternativo para la implementación de manos libres, implica riesgos de seguridad conocidos y, por tanto, no se recomienda.
Durante esta fase, el comportamiento predeterminado cambia a seguro por defecto.
Si necesita seguir usando la implementación de manos libres, vea la Fase 1, Opción 2(no recomendado).
Registro de eventos
Se agregan nuevos eventos para ayudar a los administradores a supervisar el comportamiento de implementación.
Los siguientes eventos se registrarán en el registro de Microsoft-Windows-Deployment-Services-Diagnostics/Debug :
Modo seguro
Nota
Advertencia: La solicitud de archivo desatendida se realizó a través de una conexión no segura. Servicios de implementación de Windows ha bloqueado la solicitud para mantener la seguridad del sistema. Para obtener más información, vea: https://go.microsoft.com/fwlink/?linkid=2344403
Nota Esta advertencia se desencadena cuando se solicita la unattend.xml sin un canal seguro.
Modo inseguro
Nota
Error: Este sistema usa una configuración no segura para los Servicios de implementación de Windows. Esto puede exponer los archivos de configuración confidenciales a interceptación. Aplica la configuración de seguridad recomendada de Microsoft para proteger tu implementación. Más información en: https://go.microsoft.com/fwlink/?linkid=2344403
Este error se desencadena cuando se consulta el unattend.xml de forma no segura o cuando se inicia WDS.
Resumen de los pasos de acción (enero - abril de 2026)
- Revise la configuración de WDS e identifique unattend.xml uso.
- Aplique la clave del Registro recomendada (AllowHandsFreeDeployment=0) para exigir la implementación segura.
- Puede supervisar Visor de eventos advertencias o errores relacionados con el acceso a unattend.xml.
- Prepárese para los lanzamientos posteriores a la actualización de seguridad de abril de 2026 eliminando la dependencia de la implementación de manos libres.
- Después de instalar las Novedades de Windows publicadas el 14 de abril de 2026 o después, los escenarios de implementación de manos libres mediante WDS se deshabilitan de forma predeterminada y ya no se admiten.
- Los administradores pueden invalidar la configuración segura predeterminada para que las implementaciones de manos libres sigan funcionando, pero no se recomienda. Se recomienda mantener esta característica deshabilitada para mantener una configuración segura y migrar a métodos alternativos.
Registro de cambios
| Cambiar fecha | Cambiar descripción |
|---|---|
| 14 de abril de 2026 |
|