Microsoft ha abordado una vulnerabilidad crítica de bypass de función de seguridad en los certificados de Windows Secure Boot, identificada como CVE-2026-21265, a través de sus actualizaciones del Patch Tuesday de enero de 2026. La falla surge de certificados de la era 2011 que caducan y que sustentan la cadena de confianza de Secure Boot, lo que podría permitir a los atacantes alterar la integridad del arranque si no se parchea. La vulnerabilidad está clasificada como Importante.

Microsoft ha solucionado una vulnerabilidad crítica de bypass de función de seguridad en los certificados de Windows Secure Boot, identificada como CVE-2026-21265, mediante sus actualizaciones del Patch Tuesday de enero de 2026.

La falla proviene de certificados de la era 2011 que están a punto de expirar y que sustentan la cadena de confianza de Secure Boot, lo que podría permitir a los atacantes alterar la integridad del arranque si no se parchea.

Clasificada como Importante con una puntuación base CVSS v3.1 de 6.4, el problema requiere acceso local, altos privilegios y una complejidad de ataque elevada, lo que hace que su explotación sea menos probable.

La CVE-2026-21265 surge porque los certificados de Microsoft almacenados en UEFI KEK y DB están cerca de sus fechas de vencimiento a mediados de 2026, lo que arriesga un fallo en Secure Boot sin actualizaciones.

Defectos en el mecanismo de actualización de certificados del firmware del sistema operativo pueden interrumpir la cadena de confianza, comprometiendo el Administrador de arranque de Windows y los cargadores de terceros. Aunque ya ha sido divulgada públicamente, no se ha explotado en la naturaleza hasta ahora. Microsoft insta a implementar de inmediato los certificados de reemplazo de 2023.

Tres certificados clave de 2011 deben renovarse para mantener Secure Boot:

Si no se actualizan, los dispositivos quedan expuestos a ataques durante el arranque, como se advirtió en el aviso de Microsoft de noviembre de 2025.

Sistemas afectados y parches

Los parches están dirigidos a ediciones heredadas de Windows Server y versiones con soporte extendido, todas marcadas como requieren acción del cliente.

Las organizaciones con actualizaciones gestionadas por TI o por Microsoft deben priorizar su implementación. Verifica la compatibilidad del firmware para evitar problemas de arranque después del parche.