En octubre de 2026 Microsoft lanzó una actualización acumulativa para Windows 11 que, según sus notas, corregiría un bug que provocaba la caída de conexiones Always On VPN. Sin embargo, la compañía ha confirmado que el problema persiste y que la corrección fue marcada erróneamente como resuelta. La falta de una solución definitiva impacta a organizaciones que utilizan VPNs siempre activas para acceso remoto seguro, generando interrupciones intermitentes y potenciales riesgos de exposición.

Qué sabemos hasta ahora

Microsoft ha publicado un comunicado indicando que el bug fue identificado en el módulo de gestión de túneles de Always On VPN y que, aunque la actualización incluía cambios de código, estos no abordaron la raíz del problema. La empresa está trabajando en una nueva corrección que será distribuida en una futura actualización. Hasta el momento, no se ha asignado un CVE ni se ha divulgado un identificador de parche específico.

Los administradores de sistemas reportaron que, tras aplicar la actualización de octubre, continúan observando desconexiones aleatorias y fallos al renegociar los túneles VPN. La comunidad de usuarios de Windows 11 en foros técnicos ha compartido logs que muestran errores de “tunnel establishment failed” y “connection reset by peer”.

Análisis técnico

El fallo parece estar relacionado con la lógica de reintento de túneles dentro del servicio svsvc.exe, que no maneja correctamente ciertos estados de error de la capa de red. Cuando el cliente VPN detecta una pérdida de conectividad, intenta reestablecer el túnel, pero la condición de error no se restablece, provocando un bucle de reconexión que termina en una caída definitiva.

Desde la perspectiva de un pentester, la inestabilidad del túnel puede ser explotada para forzar la caída del cliente y, potencialmente, interceptar tráfico durante la renegociación si se combina con un ataque de hombre‑en‑el‑medio en la red local. Herramientas como Wireshark o tcpdump pueden capturar los paquetes de renegociación para identificar vulnerabilidades en la fase de handshake.

"Microsoft dice que marcó erróneamente el bug como solucionado en la actualización de octubre" – comunicado oficial de Microsoft.

Impacto y alcance

La vulnerabilidad sigue presente en entornos que dependen de la funcionalidad Always On VPN, lo que mantiene expuesto el canal de comunicación entre dispositivos y la infraestructura corporativa. Los sectores que tradicionalmente hacen un uso intensivo de conexiones remotas, como servicios financieros, salud y educación, aparecen entre los más vulnerables.

Hasta el momento no se ha divulgado un exploit público que permita la explotación automática, pero la disponibilidad de la descripción técnica ha generado preocupación entre los equipos de respuesta a incidentes, que temen la aparición de herramientas de ataque en los próximos días.

¿Cómo afecta esto a LATAM?

Empresas de la región que han adoptado la solución de Microsoft para habilitar el acceso remoto sin fricción se encuentran en la misma posición que sus contrapartes globales. Organizaciones en México, Colombia y Argentina que dependen de la conectividad constante para sus operaciones diarias deben revisar sus configuraciones y planes de mitigación.

El ecosistema de proveedores locales que integran la tecnología de VPN de Microsoft también se ve impactado, pues sus clientes demandarán respuestas rápidas y pruebas de que los parches posteriores han sido aplicados correctamente.

Qué deben hacer los equipos de seguridad

  • Revisar los registros de eventos de los clientes VPN en busca de patrones de autenticación anómalos.
  • Aplicar de inmediato los últimos paquetes de corrección publicados por Microsoft para la funcionalidad afectada.
  • Desactivar temporalmente la característica de reconexión automática mientras se verifica la estabilidad de la solución corregida.
  • Implementar controles de segmentación de red que limiten el alcance de una posible brecha a los recursos críticos.
  • Actualizar las políticas de detección de amenazas para incluir indicadores de compromiso asociados a la vulnerabilidad.
  • Comunicar a los usuarios finales la necesidad de reiniciar sus dispositivos después de la instalación del parche.

Reflexión

¿Estamos preparados para confiar ciegamente en actualizaciones que prometen solucionar problemas críticos, o deberíamos adoptar una postura más escéptica y proactiva? La respuesta a esa pregunta definirá si la próxima gran vulnerabilidad será una sorpresa o una consecuencia previsible de nuestra dependencia tecnológica.