Microsoft ha publicado actualizaciones de seguridad que corrigen un número récord de 1.413 vulnerabilidades en toda su gama de productos. La publicación incluye una vulnerabilidad que está siendo explotada activamente, varias vulnerabilidades ya reveladas públicamente y más de 70 fallos clasificados como «críticos». Cabe destacar que una vulnerabilidad de Windows Shell, que está siendo explotada activamente, permite a los atacantes eludir las protecciones de «Mark of the Web» (MOTW), lo que podría facilitar la ejecución de contenido malicioso difundido a través de correos electrónicos de phishing y enlaces maliciosos.

Dado el volumen de vulnerabilidades y la existencia de explotación activa, las organizaciones deben dar prioridad a la aplicación de los parches, especialmente en los sistemas conectados a Internet, las estaciones de trabajo con privilegios y los activos de infraestructura crítica.

Estadísticas clave

Microsoft ha corregido:

• 1.413 vulnerabilidades en total
• 1.102 vulnerabilidades de Windows
• 134 vulnerabilidades de Microsoft Office
• 61 vulnerabilidades de las herramientas de desarrollo
• 36 vulnerabilidades de SharePoint Server
• 22 vulnerabilidades de SQL Server
• Más de 670 vulnerabilidades de escalada de privilegios
• Más de 300 vulnerabilidades de ejecución remota de código (RCE)
• Más de 250 vulnerabilidades de divulgación de información
• Más de 70 vulnerabilidades clasificadas como críticas

Vulnerabilidades más significativas

1. CVE-2026-96951 – Elusión de la función de seguridad de Windows Shell

CVSS: 8,8
Estado: Se está explotando activamente en la red

Esta vulnerabilidad es un fallo de inyección de comandos en el Shell de Windows que puede explotarse para eludir las protecciones de Microsoft Mark of the Web (MOTW). Una explotación exitosa podría permitir que archivos maliciosos enviados por correo electrónico, plataformas de mensajería o contenido descargado eludieran los controles de seguridad diseñados para advertir a los usuarios antes de su ejecución.

Escenario de ataque

Un atacante envía un archivo especialmente manipulado por correo electrónico o mensajería instantánea y convence a un usuario para que lo abra. La explotación requiere la interacción del usuario, pero permite al atacante eludir las protecciones de MOTW.

Riesgo

• Campañas de phishing
• Ataques de acceso inicial
• Distribución de malware
• Posibles cadenas de despliegue de ransomware

La CISA ha añadido esta vulnerabilidad a su catálogo de vulnerabilidades explotadas conocidas (KEV).

2. CVE-2026-108398 – Elusión de WDAC en .NET Framework

CVSS: 8,8
Estado: Divulgada públicamente

Esta vulnerabilidad permite a un atacante autenticado localmente eludir las restricciones de Windows Defender Application Control (WDAC) cargando un ensamblado .NET malicioso en un proceso protegido. No se requiere la interacción del usuario.

Impacto potencial

• Elusión de la lista blanca de aplicaciones
• Ejecución de código no autorizado
• Elusión de las defensas
• Persistencia tras la compromisión

Esta vulnerabilidad resulta especialmente preocupante como técnica posterior a la compromisión, ya que permite a los atacantes que ya tienen acceso al sistema debilitar los controles de seguridad de los terminales.

3. CVE-2026-92707 – Denegación de servicio en MessagePack-CSharp

CVSS: 5,3
Estado: Divulgada públicamente

Una vulnerabilidad de asignación de memoria mal controlada en MessagePack-CSharp podría permitir a un atacante remoto provocar condiciones de denegación de servicio.

Aunque no es tan grave como las vulnerabilidades que se están explotando activamente, su divulgación pública podría aumentar los intentos de explotación.

4. CVE-2026-21413 – Raw Image Extension (RCE)

CVSS: 9,8

Una vulnerabilidad de desbordamiento de búfer basada en el montón que afecta a la extensión Raw Image de Microsoft puede dar lugar a la ejecución remota de código. Un atacante solo tiene que convencer a un usuario para que acceda a una carpeta que contenga un archivo de imagen RAW malicioso. La mera generación de miniaturas por parte de Windows puede desencadenar la vulnerabilidad sin necesidad de abrir la imagen.

Impacto potencial

• Ejecución remota de código
• Distribución de malware
• Acceso inicial a través de recursos compartidos de archivos y soportes extraíbles
• Compromiso de la estación de trabajo

Evaluación de la amenaza

La principal preocupación es CVE-2026-96951, ya que se está explotando activamente y proporciona un mecanismo para eludir las protecciones MOTW en las que se confía con frecuencia para defenderse contra el phishing y la distribución de malware.

Los atacantes suelen aprovechar las técnicas de elusión de MOTW para:

• Distribuir malware a través de archivos comprimidos y archivos descargados
• Eludir las advertencias de seguridad de los usuarios
• Permitir actividades posteriores de escalada de privilegios y robo de credenciales

La vulnerabilidad de elusión de WDAC en .NET Framework aumenta aún más el riesgo al permitir que los actores maliciosos que hayan establecido un punto de apoyo eludan las medidas de control de aplicaciones y ejecuten código no autorizado.

Medidas recomendadas

Inmediatas (0-24 horas)

1. Priorice la implementación de las actualizaciones de Microsoft que corrigen:
• CVE-2026-96951
• CVE-2026-108398
• CVE-2026-21413
2. Identifique los sistemas expuestos:
• Servidores Windows
• Estaciones de trabajo de administración con privilegios
• Infraestructura de nivel 0
• Servidores de salto
3. Verifique que las políticas de WDAC sigan aplicándose tras la instalación de los parches.

Si le preocupa alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe adoptar para protegerse de las amenazas más graves a las que se enfrenta su organización, póngase en contacto con su gestor de cuentas o, si lo prefiere, póngase en contacto con nosotros para averiguar cómo puede proteger su organización.