Última guía sobre la protección de Windows y fechas clave

Cambios en el protocolo Netlogon KB5021130 | Fase 2

Fase de cumplimiento inicial. Quita la capacidad de deshabilitar el sellado RPC estableciendo el valor 0 en la subclave del registro RequireSeal .

Autenticación basada en certificados KB5014754 | Fase 2

Quita el modo Deshabilitado .

Protecciones de omisión de arranque seguro KB5025885 | Fase 1

Fase de implementación inicial. Las novedades de Windows publicadas el 9 de mayo de 2023 abordan vulnerabilidades analizadas en CVE-2023-24932, cambios en los componentes de arranque de Windows y dos archivos de revocación que se pueden aplicar manualmente (una directiva de integridad de código y una lista actualizada de denegación de arranque seguro (DBX).

Cambios en el protocolo Netlogon KB5021130 | Fase 3

Cumplimiento de forma predeterminada. La subclave RequireSeal se moverá al modo de cumplimiento a menos que la configure explícitamente para que esté en modo de compatibilidad.

Firmas PAC de Kerberos KB5020805 | Fase 3

Tercera fase de implementación. Quita la capacidad de deshabilitar la adición de firmas PAC estableciendo la subclave KrbtgtFullPacSignature en un valor de 0.

Cambios en el protocolo Netlogon KB5021130 | Fase 4

Aplicación final. Las actualizaciones de Windows publicadas el 11 de julio de 2023 quitarán la capacidad de establecer el valor 1 en la subclave del registro RequireSeal . Esto habilita la fase de cumplimiento de CVE-2022-38023.

Firmas PAC de Kerberos KB5020805 | Fase 4

Modo de cumplimiento inicial. Quita la capacidad de establecer el valor 1 para la subclave KrbtgtFullPacSignature y pasa al modo de cumplimiento como predeterminado (KrbtgtFullPacSignature = 3), que puede invalidar con una configuración de auditoría explícita.

Protecciones de omisión de arranque seguro KB5025885 | Fase 2

Segunda fase de implementación. Las novedades para Windows publicadas el 11 de julio de 2023 o después incluyen la implementación automatizada de los archivos de revocación, nuevos eventos del registro de eventos para informar de si la implementación de revocación se realizó correctamente y paquete de actualización dinámica de SafeOS para WinRE.

Actualizaciones de permisos de Active Directory (AD) KB5008383 | Fase 5

Fase de implementación final. La fase de implementación final puede comenzar una vez que haya completado los pasos enumerados en la sección "Tomar medidas" de KB5008383. Para pasar al modo de cumplimiento , siga las instrucciones de la sección "Deployment Guidance" para establecer los bits 28 y 29 en el atributo dSHeuristics . A continuación, supervise los eventos 3044-3046. Notifican cuando el modo de cumplimiento ha bloqueado una operación de agregar o modificar LDAP que anteriormente se podía haber permitido en el modo de auditoría.

Protecciones de omisión de arranque seguro KB5025885 | Fase 3

Tercera fase de implementación. Esta fase agregará mitigaciones de administrador de arranque adicionales. Esta fase no comenzará antes del 9 de abril de 2024.

Cambios de validación de PAC KB5037754 | Fase del modo de compatibilidad
La fase de implementación inicial comienza con las actualizaciones publicadas el 9 de abril de 2024. Esta actualización añade un nuevo comportamiento que impide la elevación de vulnerabilidades de privilegios descritas en CVE-2024-26248 y CVE-2024-29056 , pero no lo aplica a menos que se actualicen tanto los controladores de dominio de Windows como los clientes de Windows del entorno.
Para habilitar el nuevo comportamiento y mitigar las vulnerabilidades, debe asegurarse de que todo el entorno de Windows (incluidos los controladores de dominio y los clientes) esté actualizado. Los eventos de auditoría se registrarán para ayudar a identificar los dispositivos que no están actualizados.

Protecciones de omisión de arranque seguro KB5025885 | Fase 3

Fase de cumplimiento obligatorio. Las revocaciones (directiva de arranque de integridad de código y lista de no permitir arranque seguro) se aplicarán mediante programación después de instalar las actualizaciones de Windows en todos los sistemas afectados sin ninguna opción que se deshabilite.

Autenticación basada en certificados KB5014754 | Fase 3

Modo de cumplimiento completo. Si un certificado no se puede asignar de forma sólida, se denegará la autenticación.

Cambios de validación de PAC KB5037754 | Fase de cumplimiento

Las actualizaciones de Seguridad de Windows publicadas a partir de abril de 2025 quitarán la compatibilidad con las subclaves del Registro PacSignatureValidationLevel y CrossDomainFilteringLevel y aplicarán el nuevo comportamiento seguro. No habrá compatibilidad con el modo de compatibilidad después de instalar la actualización de abril de 2025.

Protecciones de autenticación Kerberos para CVE-2025-26647 KB5057784 | Modo auditoría

La fase de implementación inicial comienza con las actualizaciones publicadas el 8 de abril de 2025. Estas actualizaciones agregan un nuevo comportamiento que detecta la vulnerabilidad de elevación de privilegios descrita en CVE-2025-26647 , pero no la aplica. Para habilitar el nuevo comportamiento y protegerse de la vulnerabilidad, debe asegurarse de que todos los controladores de dominio de Windows estén actualizados y de que el valor de la clave del Registro AllowNtAuthPolicyBypass esté establecido en 2.

Protecciones de autenticación Kerberos para CVE-2025-26647 KB5057784 | Fase de aplicación predeterminada

Las novedades publicadas en julio de 2025 o después aplicarán la comprobación de NTAuth Store de forma predeterminada. La configuración de la clave del Registro AllowNtAuthPolicyBypass permitirá a los clientes volver al modo auditoría si es necesario. Sin embargo, se quitará la capacidad de deshabilitar completamente esta actualización de seguridad.

Protecciones de omisión de arranque seguro KB5025885 | Fase de cumplimiento

La fase de cumplimiento no comenzará antes de enero de 2026 y proporcionaremos al menos seis meses de advertencia anticipada en este artículo antes de que comience esta fase. Cuando se publiquen actualizaciones para la fase de aplicación, incluirán lo siguiente:

• El certificado "Windows Production PCA 2011" se revocará automáticamente al agregarse a la lista prohibida de UEFI (DBX) de arranque seguro en dispositivos compatibles. Estas actualizaciones se aplicarán mediante programación después de instalar las actualizaciones de Windows en todos los sistemas afectados sin opción de deshabilitarse.