Ir al contenido
Indene
es

Alertas de segurança

Patch Tuesday de octubre corrige zero-day de Windows Shell ya explotado en ataques

Microsoft lanzó el 13 de octubre un paquete récord de correcciones, con cerca de 1.400 fallas. La CVE-2026-96951, en Windows Shell, ya está siendo explotada y se encuentra en el catálogo KEV de CISA, con fecha límite de corrección el 16 de octubre. Vea qué priorizar.

Por Leonardo Araujo IevaAnalista de segurança ofensiva

3 min de lectura

Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Over 1,400 fixes, one already under attack.
Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Over 1,400 fixes, one already under attack.

Microsoft publicó el 13 de octubre de 2026 el paquete mensual de correcciones de seguridad, que BleepingComputer considera el más grande jamás lanzado, con cerca de 1.411 fallas. Entre ellas se encuentra una ya explotada en ataques: la CVE-2026-96951, en Windows Shell, que elude una característica de seguridad del sistema. CISA incluyó la falla en el catálogo de vulnerabilidades explotadas (KEV) el mismo día, con fecha límite de corrección el 16 de octubre para las agencias civiles federales estadounidenses.

Lo que se sabe

ítem detalle
Identificador CVE-2026-96951
Producto Windows (componente Windows Shell)
Tipo Inyección de comandos que permite eludir una característica de seguridad, Mark of the Web, según BleepingComputer; CISA describe la elusión de la característica "a través de la red"
Situación explotada activamente; Microsoft no divulgó cómo ocurre el ataque ni quién lo reportó
En el catálogo KEV de CISA sí, desde el 13 de octubre de 2026 · plazo federal estadounidense el 16 de octubre
Uso en ransomware desconocido, según CISA

El Mark of the Web es la marca que Windows coloca en los archivos descargados de internet o recibidos por correo electrónico, y que hace que el sistema avise al usuario antes de abrirlos. Una falla que elude esta marca elimina una de las advertencias restantes contra archivos adjuntos y descargas maliciosas. Los detalles de la explotación no son públicos, por lo que no se puede determinar el alcance de la campaña.

El paquete también incluye otros elementos que merecen atención:

  • Dos zero-days divulgados públicamente, pero sin explotación conocida: la CVE-2026-108398, en .NET Framework, que puede eludir el WDAC (control de aplicaciones de Windows) y requiere un atacante autenticado con acceso local; y la CVE-2026-92707, en la biblioteca MessagePack-CSharp, de severidad moderada.
  • 70 fallas críticas, de las cuales 57 son de ejecución remota de código. Entre ellas, según la tabla de Microsoft reproducida por BleepingComputer, una ejecución remota en Active Directory Domain Services (CVE-2026-70229), dos fallas de suplantación de identidad en AD FS (CVE-2026-96222 y CVE-2026-108131) y una ejecución remota en Azure App Service (CVE-2026-77900).
  • Fin de soporte: la actualización de octubre es la última para Windows 11 24H2 (ediciones Home y Pro) y para Windows 10 Enterprise LTSB 2016.

Por qué es importante para las instituciones financieras

El volumen récord es un problema de cola, no de gravedad media. Con más de mil correcciones en el mes, el equipo que aplica todo en la misma ventana corre el riesgo de retrasar precisamente las que importan. La de Windows Shell ya está siendo explotada. Las de Active Directory y AD FS, incluso sin explotación conocida, afectan el sistema que controla la identidad y el acceso en casi toda la institución, y es en él donde el compromiso de un servidor se convierte en el compromiso de la red.

También está el contexto de la semana: BleepingComputer enumera, en el mismo ciclo, fallas explotadas en Citrix, FortiMail, Ivanti y SonicWall. Quienes se encargan de las correcciones están lidiando con varios frentes al mismo tiempo, y priorizar por explotación confirmada es lo que sustenta una decisión ante la auditoría.

Qué hacer ahora

  1. Aplique la actualización de octubre a las estaciones y servidores Windows, comenzando por las máquinas que reciben correo electrónico y navegan por internet. Use el plazo del 16 de octubre de CISA como referencia de urgencia, incluso si la institución no está sujeta a la directiva estadounidense.
  2. Priorice los controladores de dominio y los servidores de federación (AD DS y AD FS) en la misma ventana, debido a las fallas críticas de estos componentes.
  3. Realice un inventario de Windows 11 24H2 Home y Pro y de Windows 10 Enterprise LTSB 2016, que dejarán de recibir actualizaciones de seguridad, y defina qué se migrará.
  4. Mientras la corrección no llega a todos los equipos, refuerce el bloqueo de archivos adjuntos y archivos de origen externo en el filtro de correo electrónico y en el proxy. Esta es una recomendación de Indene, no del fabricante.
  5. Registre la aplicación y la verificación, con fecha y responsable: es la evidencia que la auditoría solicitará.

Referencias

Temas

Sigue leyendo

Todas las noticias