El ataque NatJack descubierto por Malcolm Stagg permite secuestrar sesiones TCP manipulando el estado de conexión NAT, falsificar respuestas DNS, revelar puertos mapeados y agotar las tablas NAT. Este ataque ha resultado efectivo en aplicaciones desarrolladas independientemente como Windows y Linux. Se han asignado números CVE a dos vulnerabilidades específicas de la aplicación: CVE-2026-56181 (puntuación CVSS: 8.3) en NAT de Windows y CVE-2026-63913 (puntuación CVSS: 8.2) en conntrack de Netfilter de Linux.
El ataque NatJack requiere que el atacante tenga acceso privilegiado a un sistema ubicado detrás del mismo NAT. Por lo tanto, es importante separar las cargas de trabajo no confiables de los sistemas confiables que comparten la misma infraestructura NAT. No existe un parche único para la clase general de ataque. Se recomienda a las organizaciones aplicar las actualizaciones actuales de Windows y Linux y cifrar el tráfico dentro de las redes internas. Además, se aconseja utilizar el IP Source Guard donde corresponda.
La investigación de NatJack apunta a un supuesto subyacente en muchas implementaciones de NAT: que los dispositivos detrás del mismo NAT no manipulen el estado de conexión de los otros.