Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración conceptual de acceso del controlador de WatchGuard a memoria de Windows.

Qué se ha confirmado

INCIBE-CERT identifica como afectado WatchGuard Endpoint Security para Windows en versiones anteriores a 8.00.26.0012.

CVE-2026-13043 es una ausencia de autenticación en el controlador Kernel Memory Access Driver, denominado PSKMAD.

Según el aviso, un atacante local ya autenticado podría saltarse la comprobación de acceso al controlador y enviarle comandos privilegiados.

La explotación potencial permitiría acceso arbitrario a memoria del núcleo y divulgación de información del sistema o de otros procesos.

INCIBE recomienda actualizar WatchGuard Endpoint Security a 8.00.26.0012 o una versión posterior.

Análisis de Defensops

La condición de acceso local autenticado limita el escenario descrito: el aviso no sostiene una explotación directa desde Internet. Aun así, un usuario o proceso que ya opere en el equipo afectado podría intentar cruzar el límite entre el acceso ordinario al sistema y la memoria reservada al núcleo o a otros procesos. El posible impacto requiere evaluar qué equipos mantienen una versión vulnerable y quién puede iniciar sesiones en ellos.

El componente señalado es un controlador de una herramienta de protección, lo que hace relevante verificar la versión instalada en el endpoint y no solo la política central del producto. INCIBE describe capacidades potenciales, sin aportar en este aviso un caso de explotación ni indicadores para detectar intentos concretos. Tampoco permite concluir que un atacante haya obtenido privilegios de forma remota.

Prioridades de revisión

Inventariar primero los equipos Windows con WatchGuard Endpoint Security y comprobar la versión realmente instalada en cada uno, priorizando los anteriores a 8.00.26.0012.

Aplicar la actualización a 8.00.26.0012 o posterior según el procedimiento de despliegue del producto y verificar después en los endpoints que la versión quedó instalada y el servicio funciona.

Mientras se completa la actualización, revisar qué cuentas pueden iniciar sesión localmente en los equipos afectados y retirar accesos que ya no sean necesarios, dejando constancia de las excepciones.

Registrar los endpoints que no puedan actualizarse, su responsable y una fecha de corrección; conservar los registros disponibles para investigar actividad local anómala sin asumir que cualquier evento pruebe explotación de este CVE.

Qué no se ha confirmado

El aviso no identifica ataques observados ni detalla una prueba de concepto pública.

La fuente no precisa qué comandos del controlador son suficientes para obtener información concreta ni qué telemetría permitiría distinguir su abuso.

Fuente

INCIBE-CERT. Fecha indicada: 2026-10-02.