2026-10-02
El investigador ha publicado un proof of concept, denominado BrokenPipe, que explota el servicio auxiliar de Steam (steamservice.exe) para ejecutar código con privilegios SYSTEM en equipos Windows 10 y Windows 11. La técnica no requiere acceso remoto; el atacante solo necesita ejecutar código localmente con una cuenta estándar.
El fallo se reproduce en Steam versión 10.96.30.42 y se basa en una validación insuficiente de la firma de los scripts VDF que el servicio acepta. No existe aún un identificador CVE público ni una corrección oficial por parte de Valve, aunque la compañía recibió la notificación en marzo.
Para las pymes de Cúcuta se recomienda: (1) inventariar los equipos Windows que tengan Steam instalado; (2) desinstalar Steam de estaciones compartidas o críticas, o desactivar Steam Client Service si no es necesario; (3) aplicar listas de permitidos y políticas de ejecución que bloqueen scripts no firmados; (4) monitorizar la creación de procesos steamservice.exe en contexto SYSTEM; y (5) mantenerse atento a los comunicados de Valve para aplicar el parche tan pronto esté disponible.
Qué significa para una pyme colombiana y cucuteña: Revise los equipos Windows que tengan Steam 10.96.30.42 instalado; si no es indispensable, desinstálelo o desactive el servicio Steam Client Service, y habilite listas de permitidos para evitar la ejecución de scripts no firmados.