CISA ordenó a agencias federales estadounidenses parchear CVE-2026-68820, una vulnerabilidad en Winsock de Windows que está siendo explotada activamente por el Lazarus Group, el grupo de hackers vinculado a Corea del Norte, para comprometer a personas que se postulan a empleos en defensa y aeronáutica. Microsoft confirmó el martes que es el único fallo en su parche mensual con explotación confirmada en ataques reales. El plazo límite es el 25 de agosto y requiere reiniciar el dispositivo; no existe un workaround temporal.
Por qué importa: Esta vulnerabilidad permite a atacantes que ya tienen acceso inicial a una máquina escalar desde permisos limitados a control total del sistema operativo. La sofisticación del ataque radica no solo en el zero-day sino en cómo Lazarus integra infraestructura legítima comprometida en cada etapa, haciéndose difícil de detectar.
Lo esencial
- CVE-2026-68820 afecta Winsock, el componente que permite navegadores conectarse a internet, con puntuación de severidad 7/10
- Check Point descubrió el fallo investigando Operation Dream Job, donde Lazarus suplanta reclutadores de Lockheed Martin y Enveil para enviar PDF maliciosos
- Una vez abiertos los archivos, se despliega un backdoor que permite acceso remoto persistente y luego se ejecuta el exploit de escalada de privilegios
El método de Operation Dream Job
Check Point reportó que Lazarus contacta a candidatos por LinkedIn suplantando reclutadores de empresas de defensa y privacidad. Los PDF adjuntos contienen malware que, al abrirse, instala un backdoor para acceso remoto. El malware luego escanea características del dispositivo antes de desplegar el exploit de CVE-2026-68820 para obtener control total del sistema.
