Últimas instrucciones de protección de Windows y fechas clave

Cambios en el protocolo Netlogon KB5021130 | Fase 2

Fase de obligatoriedad inicial. Elimina la capacidad de deshabilitar el sellado RPC estableciendo el valor 0 en la subclave del Registro RequireSeal .

KB5014754 de autenticación basada en certificados | Fase 2

Quita el modo deshabilitado .

Protección de omisión de arranque seguro KB5025885 | Fase 1

Fase de implementación inicial. Windows Novedades publicó el 9 de mayo de 2023 o después soluciona las vulnerabilidades analizadas en CVE-2023-24932, los cambios en los componentes de arranque de Windows y dos archivos de revocación que se pueden aplicar manualmente (una directiva de integridad de código y una lista de desaprobación de arranque seguro (DBX) actualizada).

Cambios en el protocolo Netlogon KB5021130 | Fase 3

Obligatoriedad de forma predeterminada. La subclave RequireSeal se moverá al modo de obligatoriedad a menos que la configure explícitamente para que esté en modo de compatibilidad.

Firmas PAC de Kerberos KB5020805 | Fase 3

Tercera fase de implementación. Quita la capacidad de deshabilitar la adición de firma PAC estableciendo la subclave KrbtgtFullPacSignature en un valor de 0.

Cambios en el protocolo Netlogon KB5021130 | Fase 4

Obligatoriedad final. Las actualizaciones de Windows publicadas el 11 de julio de 2023 quitarán la capacidad de establecer el valor 1en larequireSealsubclave del registro. Esto habilita la fase de cumplimiento de CVE-2022-38023.

Firmas PAC de Kerberos KB5020805 | Fase 4

Modo de aplicación inicial. Quita la capacidad de establecer el valor 1 para la subclave KrbtgtFullPacSignature y pasa al modo de cumplimiento como predeterminado (KrbtgtFullPacSignature = 3), que se puede invalidar con una configuración de auditoría explícita. 

Protección de omisión de arranque seguro KB5025885 | Fase 2

Segunda fase de implementación. Novedades para Windows publicado el 11 de julio de 2023 o después incluyen la implementación automatizada de los archivos de revocación, nuevos eventos del registro de eventos para informar de si la implementación de revocación se realizó correctamente y el paquete de actualización dinámica de SafeOS para WinRE.

Firmas PAC de Kerberos KB5020805 | Fase 5

Fase de cumplimiento completa. Quita la compatibilidad con la subclave del Registro KrbtgtFullPacSignature, elimina la compatibilidad con el modo Auditoría y se denegará la autenticación a todos los vales de servicio sin las nuevas firmas PAC.

Actualizaciones de permisos de Active Directory (AD) KB5008383 | Fase 5

Fase de implementación final. La fase de implementación final puede comenzar una vez que haya completado los pasos enumerados en la sección "Tomar medidas" de KB5008383. Para pasar al modo de obligatoriedad , siga las instrucciones de la sección "Instrucciones de implementación" para establecer los bits 28 y 29 en el atributo dSHeuristics . A continuación, supervise los eventos 3044-3046. Notifican cuando el modo de obligatoriedad ha bloqueado una operación de agregar o modificar LDAP que anteriormente se podía haber permitido en el modo auditoría . 

Protección de omisión de arranque seguro KB5025885 | Fase 3

Tercera fase de implementación. Esta fase agregará mitigaciones de administrador de arranque adicionales. Esta fase no comenzará antes del 9 de abril de 2024.

Cambios de validación de PAC KB5037754 | Fase de modo de compatibilidad

La fase de implementación inicial comienza con las actualizaciones publicadas el 9 de abril de 2024. Esta actualización agrega un nuevo comportamiento que impide la elevación de vulnerabilidades de privilegios descritas en CVE-2024-26248 y CVE-2024-29056, pero no la aplica a menos que se actualicen tanto los controladores de dominio de Windows como los clientes Windows del entorno.

Para habilitar el nuevo comportamiento y mitigar las vulnerabilidades, debes asegurarte de que se actualice todo el entorno de Windows (incluidos los controladores de dominio y los clientes). Los eventos de auditoría se registrarán para ayudar a identificar los dispositivos no actualizados.

Protección de omisión de arranque seguro KB5025885 | Fase 3

Fase de obligatoriedad obligatoria. Las revocaciones (directiva de arranque de integridad de código y lista de no permitir arranque seguro) se aplicarán mediante programación después de instalar las actualizaciones de Windows en todos los sistemas afectados sin ninguna opción que se deshabilite.

Cambios de validación de PAC KB5037754 | Obligatoriedad de fase predeterminada

Novedades publicado en enero de 2025 o después moverá todos los controladores de dominio y clientes de Windows del entorno al modo obligatorio. Este modo exigirá el comportamiento seguro de forma predeterminada. La configuración de clave del Registro existente que se haya establecido anteriormente invalidará este cambio de comportamiento predeterminado.

El administrador puede anular la configuración predeterminada del modo obligatorio para volver al modo de compatibilidad.

KB5014754 de autenticación basada en certificados | Fase 3

Modo de obligatoriedad completa. Si un certificado no se puede asignar de forma segura, se denegará la autenticación.

Cambios en la validación de PAC KB5037754 | Fase

de aplicación Las actualizaciones de seguridad de Windows publicadas en abril de 2025 o después, quitarán la compatibilidad con las subclaves del Registro PacSignatureValidationLevel y CrossDomainFilteringLevel y aplicarán el nuevo comportamiento seguro. No se admitirá el modo de compatibilidad después de instalar la actualización de abril de 2025.

Protecciones de autenticación Kerberos para CVE-2025-26647 KB5057784 | Modo

auditoría La fase de implementación inicial comienza con las actualizaciones publicadas el 8 de abril de 2025. Estas actualizaciones agregan un nuevo comportamiento que detecta la vulnerabilidad de elevación de privilegios descrita en CVE-2025-26647 , pero no la aplica. Para habilitar el nuevo comportamiento y protegerse de la vulnerabilidad, debe asegurarse de que todos los controladores de dominio de Windows se actualizan y que la configuración de la clave del registro AllowNtAuthPolicyBypass se establece en 2.

Protecciones de autenticación Kerberos para CVE-2025-26647 KB5057784 | Si se aplica por la fase

predeterminada Novedades publicada en julio de 2025 o después, se aplicará la comprobación de LA TIENDA NTAuth de forma predeterminada. La configuración de la clave del registro AllowNtAuthPolicyBypass seguirá permitiendo que los clientes vuelvan al modo Auditoría si es necesario. Sin embargo, se quitará la capacidad de deshabilitar por completo esta actualización de seguridad.

Protecciones de autenticación Kerberos para CVE-2025-26647 KB5057784 | Modo

de obligatoriedad ​​​​​​​Novedades publicó en octubre de 2025 o después, interrumpirá el soporte técnico de Microsoft para la clave del registro AllowNtAuthPolicyBypass. En esta etapa, todos los certificados deben ser emitidos por autoridades que forman parte del almacén NTAuth.

Protección contra omisión de arranque seguro KB5025885 | Fase

de aplicación La fase de cumplimiento no comenzará antes de enero de 2026 y avisaremos con al menos seis meses de antelación en este artículo antes de que comience esta fase. Cuando se publiquen actualizaciones para la fase de aplicación, incluirán lo siguiente:

• El certificado "Windows Production PCA 2011" se revocará automáticamente al agregarse a la lista prohibida de UEFI (DBX) de arranque seguro en dispositivos compatibles. Estas actualizaciones se aplicarán mediante programación después de instalar actualizaciones de Windows en todos los sistemas afectados sin ninguna opción para deshabilitar.