Falla en Windows permite saltear la advertencia de archivos descargados y ya se explota

Microsoft corrigió el 13 de octubre una falla de Windows que los atacantes ya usaban para que un archivo malicioso se abra sin la advertencia que el sistema muestra con lo que llega de internet. Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la sumó a su catálogo de vulnerabilidades explotadas y fijó el 16 de octubre como plazo para los organismos federales.

Qué es la falla

Windows marca los archivos que vienen de internet o de un correo con una etiqueta llamada Mark of the Web. Gracias a esa marca, el sistema pregunta antes de abrirlos y programas como Office los abren en modo protegido. La falla permite que un archivo armado esquive esa marca y se ejecute sin ninguna advertencia.

En términos técnicos, es una inyección de comandos en el Shell de Windows que se clasifica como evasión de una función de seguridad, registrada como CVE-2026-96951. No exige credenciales, pero sí que la víctima haga algo: según Microsoft, el atacante tiene que mandarle un archivo por correo o por mensajería y convencerla de abrirlo.

A quién afecta

Afecta a Windows. Las fuentes consultadas no detallan las versiones: la lista completa está en la guía de actualizaciones de Microsoft para esta falla. La corrección llega con las actualizaciones de seguridad de octubre.

Estado de explotación

Explotada, según Microsoft, que la publicó como día ceroVulnerabilidad que los atacantes explotan antes de que el fabricante publique una corrección, por lo que los usuarios todavía no tienen un parche para protegerse., y según CISA. No hay información sobre quién está detrás de los ataques ni contra quiénes. La reportaron investigadores de Fujitsu, de Anthropic y un especialista independiente, según SecurityWeek.

Antecedentes

Es la tercera falla del Shell de Windows explotada en 2026, después de CVE-2026-21510 en febrero y CVE-2026-32202 en abril, según Tenable. Llega en el martes de parches más grande de la historia de Microsoft: más de 1.400 fallas corregidas en un mes, más que en todo 2025. SecurityWeek atribuye el salto a la búsqueda de fallas con inteligencia artificial.

En la misma tanda hay otras dos fallas que se conocían antes del parche, sin ataques registrados: una en .NET Framework que esquiva el control de aplicaciones de Windows (CVE-2026-108398) y una de denegación de servicio en MessagePack-CSharp (CVE-2026-92707). También hay fallas críticas en Exchange Server y en Active Directory que Microsoft considera de explotación probable.

Qué hacer

• Instalar ya las actualizaciones de seguridad de octubre de Windows.
• En empresas, priorizar los equipos de quienes reciben archivos de afuera: atención al público, compras, recursos humanos.
• Mientras se instala el parche, desconfiar de archivos comprimidos, accesos directos o documentos que lleguen sin aviso, aunque Windows no muestre ninguna advertencia.
• Revisar también las fallas de Exchange Server y Active Directory del mismo paquete.

Ficha técnica

• CVE: CVE-2026-96951
• CVSS: 8,8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)
• Tipo: inyección de comandos en el Shell de Windows (evasión de Mark of the Web)
• Corrección: actualizaciones de seguridad de Windows del 13 de octubre de 2026
• Aviso del fabricante: guía de actualizaciones de seguridad de Microsoft
• Catálogo KEV de CISA: alta el 13 de octubre de 2026, plazo el 16 de octubre