CVE-2026-96951 es una vulnerabilidad de command injection en el componente Windows Shell que Microsoft indica como explotada activamente. La vulnerabilidad permite a un atacante no autenticado eludir mecanismos de seguridad a través de la red. Según la evaluación de Microsoft, la gravedad es de 8.8 sobre 10 según CVSS 3.1 (HIGH). La vulnerabilidad se ha incluido en el catálogo CISA Known Exploited Vulnerabilities con fecha límite de corrección el 16 de octubre de 2026. Se ven afectados Windows 10, Windows 11, Windows Server desde 2012 R2 hasta 2025, así como Outlook.com. Las organizaciones deben aplicar de inmediato las actualizaciones de seguridad.
Detalles técnicos de la vulnerabilidad
Según el registro CVE, la vulnerabilidad se clasifica como CWE-77: neutralización incorrecta de elementos especiales utilizados en un comando. Esto significa que un atacante puede inyectar comandos arbitrarios a través del componente Windows Shell, lo que conduce a un bypass de funciones de seguridad (Security Feature Bypass). El vector de ataque es de red, la complejidad de explotación es baja, no se requieren privilegios, pero sí se necesita interacción del usuario (vector CVSS: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H).
Los metadatos de Microsoft indican que la vulnerabilidad no se había revelado públicamente antes de la publicación del parche; sin embargo, ya se ha constatado su explotación, incluso en las versiones más recientes del software. El registro CVE se publicó y actualizó el 13 de octubre de 2026.
Productos y versiones afectadas
El alcance de esta vulnerabilidad va más allá de los problemas típicos de Windows Shell: se ven afectadas no solo las plataformas de escritorio y servidor, sino también el servicio en la nube Outlook.com. La lista completa de configuraciones vulnerables, según el registro CVE, es la siguiente:
- Outlook.com: versiones de la 1.0.0 a la 20260925.100
- Windows 10 Version 1607 (32-bit, x64): de la 10.0.14393.0 a la 10.0.14393.9612
- Windows 10 Version 1809: de la 10.0.17763.0 a la 10.0.17763.9376
- Windows 10 Version 21H2: de la 10.0.19044.0 a la 10.0.19044.7807
- Windows 10 Version 22H2: de la 10.0.19045.0 a la 10.0.19044.7807
- Windows 11 version 23H2: de la 10.0.22631.0 a la 10.0.22631.7652
- Windows 11 Version 24H2 (ARM64, x64): de la 10.0.26100.0 a la 10.0.26100.9711
- Windows 11 Version 25H2 (ARM64, x64): de la 10.0.26200.0 a la 10.0.26200.9711
- Windows 11 version 26H1: de la 10.0.28000.0 a la 10.0.28000.3231
- Windows 11 Version 26H2: de la 10.0.26300.0 a la 10.0.26300.9711
- Windows Server 2012 R2: de la 6.3.9600.0 a la 6.3.9600.23470
- Windows Server 2016: de la 10.0.14393.0 a la 10.0.14393.9612
- Windows Server 2019: de la 10.0.17763.0 a la 10.0.17763.9376
- Windows Server 2022 (x64): de la 10.0.20348.0 a la 10.0.20348.5761
- Windows Server 2025 (x64): de la 10.0.26100.0 a la 10.0.26100.33650
La presencia de Outlook.com en la lista de productos afectados significa que, al clasificar un incidente, es necesario comprobar no solo las implementaciones de Windows de escritorio y servidor, sino también los servicios en la nube. Esto amplía la superficie de ataque más allá de las estaciones de trabajo tradicionales.
Lo que se desconoce
En el momento de la publicación, Microsoft no revela detalles sobre qué grupos o campañas están detrás de la explotación de la vulnerabilidad. En las fuentes primarias disponibles no hay indicadores de compromiso (IOC), descripción de la cadena de explotación ni mapeo a las tácticas de MITRE ATT&CK. La información sobre el uso de la vulnerabilidad en campañas con programas de ransomware tampoco está disponible en los datos actuales de CISA KEV.
Evaluación del impacto
La combinación de varios factores convierte esta vulnerabilidad en una prioridad para la respuesta inmediata. En primer lugar, la explotación activa está confirmada: Microsoft indica explícitamente el estado “Exploited: Yes”. En segundo lugar, el alcance es amplio: desde los obsoletos Windows Server 2012 R2 hasta los más recientes Windows 11 26H2 y Windows Server 2025, incluyendo el Outlook.com en la nube. En tercer lugar, la barrera de entrada para el atacante es baja: no se requieren privilegios, el ataque es posible a través de la red y la única condición es la interacción del usuario (por ejemplo, abrir un archivo malicioso o seguir un enlace).
El impacto máximo sobre los tres parámetros CIA (confidencialidad, integridad y disponibilidad) se evalúa como HIGH, lo que, en caso de explotación exitosa, puede conducir a la completa compromisión del sistema.
Recomendaciones
- Instale de inmediato las actualizaciones de seguridad de Microsoft para todos los productos afectados. La fecha límite de corrección según el catálogo CISA KEV es el 16 de octubre de 2026, lo que supone solo tres días desde la publicación.
- Realice un inventario de todos los sistemas basados en Windows (estaciones de trabajo, servidores y servicios en la nube) para identificar las versiones vulnerables. Preste especial atención a las implementaciones en servidores, que a menudo se actualizan con retraso.
- Compruebe las versiones de compilación de los sistemas instalados y compárelas con los valores umbral de la lista de productos afectados. Los sistemas con números de compilación por debajo de los umbrales indicados son vulnerables.
- Para las organizaciones sujetas a la directiva CISA BOD 22-01, la corrección de la vulnerabilidad es obligatoria dentro del plazo establecido.
Anteriormente hemos cubierto otros casos de explotación activa de vulnerabilidades en productos de Microsoft, en particular la vulnerabilidad de escalada de privilegios en AD FS, así como la incorporación de vulnerabilidades de SharePoint al catálogo CISA KEV. El caso actual confirma una tendencia sostenida: los componentes de Windows siguen siendo un objetivo prioritario para los atacantes.
La ventana de tres días hasta la fecha límite de CISA KEV y la explotación confirmada no dejan margen para posponer el parcheo. La prioridad es la actualización inmediata de todos los sistemas Windows y la comprobación de las compilaciones de Outlook.com hasta la versión umbral 20260925.100. La ausencia de detalles públicos sobre la explotación no reduce el riesgo: solo significa que, por ahora, los defensores no pueden confiar en la detección basada en firmas y deben centrarse en corregir la vulnerabilidad como la única medida de protección fiable.
