{"id":6142,"date":"2026-10-14T10:27:31","date_gmt":"2026-10-14T15:27:31","guid":{"rendered":"https:\/\/cert.pa\/?p=6142"},"modified":"2026-10-14T10:27:31","modified_gmt":"2026-10-14T15:27:31","slug":"csirt-panama-aviso-2026-oct-14-vulnerabilidad-alta-en-microsoft-windows-que-permite-evadir-la-proteccion-mark-of-the-web-cve-2026-96951","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6142","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-14: Vulnerabilidad Alta en Microsoft Windows que permite evadir la protecci\u00f3n Mark of the Web \u2014 CVE-2026-96951"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 14 de octubre de 2026
CVE ID:<\/strong> CVE-2026-96951
Severidad:<\/strong> ALTA \u2014 CVSS 3.1: 8.8 (Microsoft la clasifica como Importante<\/em> en su gu\u00eda de actualizaciones)
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:R\/S:U\/C:H\/I:H\/A:H
CWE:<\/strong> CWE-77 \u2014 Neutralizaci\u00f3n incorrecta de elementos especiales usados en un comando (inyecci\u00f3n de comandos)
Producto afectado:<\/strong> Windows Shell en Microsoft Windows y Windows Server
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Microsoft confirma explotaci\u00f3n detectada (vulnerabilidad de d\u00eda cero al momento de su publicaci\u00f3n)
Fuente:<\/strong> Microsoft Security Response Center (MSRC)
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

El 13 de octubre de 2026, como parte de su ciclo mensual de actualizaciones, Microsoft corrigi\u00f3 una vulnerabilidad de evasi\u00f3n de funciones de seguridad en Windows Shell, registrada como CVE-2026-96951 y calificada con 8.8 de 10 en la escala CVSS 3.1. Microsoft confirma que la vulnerabilidad ya est\u00e1 siendo explotada activamente<\/strong>.<\/p>\n\n\n\n

La falla se origina en una neutralizaci\u00f3n incorrecta de elementos especiales usados en un comando dentro de Windows Shell, y permite que un atacante no autenticado evada las protecciones de Mark of the Web<\/em> (MOTW). MOTW es la marca que Windows asigna a los archivos descargados de Internet o recibidos por correo; gracias a ella se activan controles como las advertencias de seguridad al abrir un archivo, Microsoft Defender SmartScreen y la Vista protegida de Microsoft Office. Al evadir esta marca, un archivo malicioso puede abrirse o ejecutarse sin que el usuario reciba ninguna advertencia.<\/p>\n\n\n\n

Seg\u00fan Microsoft, el escenario de ataque t\u00edpico consiste en enviar a la v\u00edctima, por correo electr\u00f3nico o mensajer\u00eda instant\u00e1nea, un archivo especialmente dise\u00f1ado, o en convencerla de abrir un enlace hacia un sitio controlado por el atacante. Se requiere interacci\u00f3n del usuario, pero el ataque puede realizarse de forma remota, con baja complejidad y sin privilegios previos. Este tipo de evasi\u00f3n suele combinarse con campa\u00f1as de phishing<\/em> para distribuir malware, por lo que el impacto potencial sobre la confidencialidad, integridad y disponibilidad del equipo es alto.<\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

La vulnerabilidad afecta a todas las versiones soportadas de Windows para equipos de escritorio y servidores. El riesgo pr\u00e1ctico se concentra en las estaciones de trabajo de usuarios que reciben correo electr\u00f3nico y descargan archivos de Internet.<\/p>\n\n\n\n

Producto<\/th>Actualizaci\u00f3n (KB)<\/th>Versi\u00f3n corregida (compilaci\u00f3n)<\/th><\/tr><\/thead>
Windows Server 2025 (incl. Server Core)<\/td>KB5126646<\/td>10.0.26100.33650<\/td><\/tr>
Windows Server 2022 (incl. Server Core)<\/td>KB5126655<\/td>10.0.20348.5761<\/td><\/tr>
Windows Server 2019 (incl. Server Core)<\/td>KB5126651<\/td>10.0.17763.9376<\/td><\/tr>
Windows Server 2016 (incl. Server Core)<\/td>KB5126868<\/td>10.0.14393.9612<\/td><\/tr>
Windows Server 2012 R2 (incl. Server Core)<\/td>KB5126836<\/td>6.3.9600.23470<\/td><\/tr>
Windows 11 versiones 24H2, 25H2 y 26H2<\/td>KB5127648<\/td>10.0.26100.9711 \/ 10.0.26200.9711 \/ 10.0.26300.9711<\/td><\/tr>
Windows 11 versi\u00f3n 26H1<\/td>KB5127646<\/td>10.0.28000.3231<\/td><\/tr>
Windows 11 versi\u00f3n 23H2<\/td>KB5126653<\/td>10.0.22631.7652<\/td><\/tr>
Windows 10 versiones 21H2 y 22H2<\/td>KB5126657<\/td>10.0.19044.7807 \/ 10.0.19045.7807<\/td><\/tr>
Windows 10 versi\u00f3n 1809<\/td>KB5126651<\/td>10.0.17763.9376<\/td><\/tr>
Windows 10 versi\u00f3n 1607<\/td>KB5126868<\/td>10.0.14393.9612<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Las versiones anteriores a las compilaciones indicadas se consideran vulnerables. Windows Server 2012 R2 recibe esta actualizaci\u00f3n solo a trav\u00e9s del programa de Actualizaciones de Seguridad Extendidas (ESU). Microsoft tambi\u00e9n list\u00f3 el servicio Outlook.com como afectado; al tratarse de un servicio en la nube, la correcci\u00f3n la aplica Microsoft y no requiere acci\u00f3n de los usuarios.<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar de forma prioritaria<\/strong>
Aplicar las actualizaciones de seguridad de octubre de 2026 indicadas en la tabla anterior, comenzando por las estaciones de trabajo de usuarios y los servidores con acceso a correo o navegaci\u00f3n web. Verificar despu\u00e9s de reiniciar que la compilaci\u00f3n del sistema coincide con la versi\u00f3n corregida.<\/p>\n\n\n\n

2. Reducir la exposici\u00f3n mientras se aplica el parche<\/strong>
Microsoft no ha publicado mitigaciones alternativas para esta vulnerabilidad. Hasta completar la actualizaci\u00f3n, reforzar el filtrado de adjuntos en las pasarelas de correo (bloquear o poner en cuarentena tipos de archivo como .lnk, .url, .iso, .img, .vhd, .zip con contenido ejecutable y similares), mantener activos Microsoft Defender SmartScreen y las reglas de reducci\u00f3n de la superficie de ataque (ASR), y recordar a los usuarios no abrir archivos ni enlaces inesperados aunque no muestren advertencias de seguridad.<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
Dado que la vulnerabilidad se explota activamente, revisar en las soluciones EDR y en los registros del sistema la ejecuci\u00f3n de procesos iniciados desde archivos recibidos por correo o descargados recientemente, especialmente procesos hijos inusuales de explorer.exe (por ejemplo, cmd.exe, powershell.exe, mshta.exe o rundll32.exe) y conexiones de red salientes hacia destinos desconocidos tras la apertura de un archivo. Reportar cualquier hallazgo a incidentes@cert.pa.<\/p>\n\n\n\n

IV. Referencias<\/strong><\/p>\n\n\n\n