Vulnerabilidad de día cero en el shell de Microsoft Windows explotada activamente en ataques.

Microsoft ha corregido una vulnerabilidad de día cero en Windows Shell que se explotaba activamente y que permitía a los atacantes eludir las protecciones de la Marca de la Web (Mark of the Web). Identificada como CVE-2026-96951, la vulnerabilidad se solucionó en las actualizaciones de seguridad de octubre de 2026 (Patch Tuesday). Tiene una puntuación CVSS de 8.8 y Microsoft la considera importante.

Aunque la vulnerabilidad no se había divulgado públicamente antes de la actualización, Microsoft confirmó que ya se había producido una explotación. Su evaluación de "Explotación detectada" indica un ataque confirmado, no una posible amenaza futura. El Índice de Explotación de Microsoft recomienda a los clientes dar la máxima prioridad a las actualizaciones aplicables en esta categoría.

Vulnerabilidad de día cero en Windows Shell explotada

La vulnerabilidad implica la inyección de comandos, donde Windows Shell no gestiona correctamente los elementos especiales utilizados en un comando. Microsoft describe el resultado como una elusión de una función de seguridad disponible para un atacante no autorizado a través de una red. Una explotación exitosa permite al atacante eludir las defensas de la Marca de la Web.

La Marca de la Web identifica los archivos que provienen de internet y ayuda a Windows a aplicar advertencias u otras comprobaciones de protección. Eludir esta protección puede eliminar una barrera importante entre un archivo descargado y el usuario que abre contenido peligroso. Sin embargo, el impacto reportado es una evasión de seguridad, no una vulnerabilidad de ejecución remota de código independiente.

Los atacantes pueden enviar un archivo especialmente diseñado por correo electrónico o mensajería instantánea y usar ingeniería social para persuadir a la víctima a abrirlo. La explotación requiere la acción del usuario. Esto significa que la vulnerabilidad no debe tratarse como un ataque de cero clics, a pesar de su ruta de distribución basada en la red.

Informes anteriores sobre ataques de saturación de enlaces (LNK Stomping) en Windows describieron otra forma en que los atacantes eludieron la Marca de la Web (Mark of the Web) mediante accesos directos de Windows. Por separado, una vulnerabilidad de la Marca de la Web en WinZip mostró cómo la extracción de archivos comprimidos podía perder las etiquetas de origen de Internet. Estas son vulnerabilidades independientes, no técnicas confirmadas utilizadas en los ataques actuales.

El aviso de Microsoft proporcionado reconoce a Riku Bamba y Yuya Chudo de Fujitsu Limited, Benoit Sevens usando Claude con Anthropic, y al investigador yhw. No identifica a los atacantes, sus objetivos, el formato del archivo malicioso ni la magnitud de la explotación. La falta de detalles limita las conclusiones sobre la campaña y su alcance.

Los equipos de seguridad deben priorizar las actualizaciones de Windows aplicables y consultar la Guía de actualizaciones de seguridad de Microsoft para los productos afectados. Es fundamental probar e implementar la solución rápidamente, ya que se ha confirmado la vulnerabilidad. Los usuarios deben tener precaución con los archivos adjuntos inesperados, dado que este ataque se basa en persuadir a la víctima para que interactúe con contenido controlado por el atacante.