Fecha de emisión: 14 de octubre de 2026
CVE ID: CVE-2026-96951
Severidad: ALTA — CVSS 3.1: 8.8 (Microsoft la clasifica como Importante en su guía de actualizaciones)
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE: CWE-77 — Neutralización incorrecta de elementos especiales usados en un comando (inyección de comandos)
Producto afectado: Windows Shell en Microsoft Windows y Windows Server
Explotación activa: Sí — Microsoft confirma explotación detectada (vulnerabilidad de día cero al momento de su publicación)
Fuente: Microsoft Security Response Center (MSRC)
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
El 13 de octubre de 2026, como parte de su ciclo mensual de actualizaciones, Microsoft corrigió una vulnerabilidad de evasión de funciones de seguridad en Windows Shell, registrada como CVE-2026-96951 y calificada con 8.8 de 10 en la escala CVSS 3.1. Microsoft confirma que la vulnerabilidad ya está siendo explotada activamente.
La falla se origina en una neutralización incorrecta de elementos especiales usados en un comando dentro de Windows Shell, y permite que un atacante no autenticado evada las protecciones de Mark of the Web (MOTW). MOTW es la marca que Windows asigna a los archivos descargados de Internet o recibidos por correo; gracias a ella se activan controles como las advertencias de seguridad al abrir un archivo, Microsoft Defender SmartScreen y la Vista protegida de Microsoft Office. Al evadir esta marca, un archivo malicioso puede abrirse o ejecutarse sin que el usuario reciba ninguna advertencia.
Según Microsoft, el escenario de ataque típico consiste en enviar a la víctima, por correo electrónico o mensajería instantánea, un archivo especialmente diseñado, o en convencerla de abrir un enlace hacia un sitio controlado por el atacante. Se requiere interacción del usuario, pero el ataque puede realizarse de forma remota, con baja complejidad y sin privilegios previos. Este tipo de evasión suele combinarse con campañas de phishing para distribuir malware, por lo que el impacto potencial sobre la confidencialidad, integridad y disponibilidad del equipo es alto.
II. Productos Afectados
La vulnerabilidad afecta a todas las versiones soportadas de Windows para equipos de escritorio y servidores. El riesgo práctico se concentra en las estaciones de trabajo de usuarios que reciben correo electrónico y descargan archivos de Internet.
| Producto | Actualización (KB) | Versión corregida (compilación) |
|---|---|---|
| Windows Server 2025 (incl. Server Core) | KB5126646 | 10.0.26100.33650 |
| Windows Server 2022 (incl. Server Core) | KB5126655 | 10.0.20348.5761 |
| Windows Server 2019 (incl. Server Core) | KB5126651 | 10.0.17763.9376 |
| Windows Server 2016 (incl. Server Core) | KB5126868 | 10.0.14393.9612 |
| Windows Server 2012 R2 (incl. Server Core) | KB5126836 | 6.3.9600.23470 |
| Windows 11 versiones 24H2, 25H2 y 26H2 | KB5127648 | 10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711 |
| Windows 11 versión 26H1 | KB5127646 | 10.0.28000.3231 |
| Windows 11 versión 23H2 | KB5126653 | 10.0.22631.7652 |
| Windows 10 versiones 21H2 y 22H2 | KB5126657 | 10.0.19044.7807 / 10.0.19045.7807 |
| Windows 10 versión 1809 | KB5126651 | 10.0.17763.9376 |
| Windows 10 versión 1607 | KB5126868 | 10.0.14393.9612 |
Las versiones anteriores a las compilaciones indicadas se consideran vulnerables. Windows Server 2012 R2 recibe esta actualización solo a través del programa de Actualizaciones de Seguridad Extendidas (ESU). Microsoft también listó el servicio Outlook.com como afectado; al tratarse de un servicio en la nube, la corrección la aplica Microsoft y no requiere acción de los usuarios.
III. Acciones Requeridas
1. Actualizar de forma prioritaria
Aplicar las actualizaciones de seguridad de octubre de 2026 indicadas en la tabla anterior, comenzando por las estaciones de trabajo de usuarios y los servidores con acceso a correo o navegación web. Verificar después de reiniciar que la compilación del sistema coincide con la versión corregida.
2. Reducir la exposición mientras se aplica el parche
Microsoft no ha publicado mitigaciones alternativas para esta vulnerabilidad. Hasta completar la actualización, reforzar el filtrado de adjuntos en las pasarelas de correo (bloquear o poner en cuarentena tipos de archivo como .lnk, .url, .iso, .img, .vhd, .zip con contenido ejecutable y similares), mantener activos Microsoft Defender SmartScreen y las reglas de reducción de la superficie de ataque (ASR), y recordar a los usuarios no abrir archivos ni enlaces inesperados aunque no muestren advertencias de seguridad.
3. Verificar posible compromiso
Dado que la vulnerabilidad se explota activamente, revisar en las soluciones EDR y en los registros del sistema la ejecución de procesos iniciados desde archivos recibidos por correo o descargados recientemente, especialmente procesos hijos inusuales de explorer.exe (por ejemplo, cmd.exe, powershell.exe, mshta.exe o rundll32.exe) y conexiones de red salientes hacia destinos desconocidos tras la apertura de un archivo. Reportar cualquier hallazgo a incidentes@cert.pa.
IV. Referencias
- Microsoft Security Response Center. Windows Shell Security Feature Bypass Vulnerability — CVE-2026-96951. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2026-96951. https://nvd.nist.gov/vuln/detail/CVE-2026-96951
- MITRE. CWE-77: Improper Neutralization of Special Elements used in a Command (‘Command Injection’). https://cwe.mitre.org/data/definitions/77.html
V. Información de Contacto
CSIRT PANAMA · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124