La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha ampliado urgentemente su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) al añadir seis vulnerabilidades de día cero, todas afectando a productos de Microsoft. Esta medida subraya las crecientes amenazas provenientes de actores estatales y ciberdelincuentes que están explotando activamente estas fallas en la naturaleza.

La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) de EE.UU. ha ampliado urgentemente su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) al añadir seis vulnerabilidades de día cero, todas afectando a productos de Microsoft.

Esta medida subraya las crecientes amenazas de actores estatales y ciberdelincuentes que están explotando activamente estas fallas en la naturaleza. Las agencias del Ramo Ejecutivo Civil Federal (FCEB) deben ahora parchear antes de las fechas límite especificadas por CISA bajo la Directiva Operativa Vinculante (BOD) 22-01, mientras que CISA insta a todas las organizaciones a priorizar la remediación para mitigar riesgos generalizados.

El Catálogo KEV, establecido por la BOD 22-01 en 2022, sirve como una lista priorizada de CVE que representan un “riesgo significativo” para las redes federales. La evidencia de explotación activa recopilada de informes de proveedores, inteligencia de amenazas y respuesta a incidentes desencadena las adiciones.

Estas seis entradas destacan vulnerabilidades persistentes en el ecosistema de Microsoft como vectores de ataque principales para ransomware, espionaje y movimiento lateral.

6 vulnerabilidades de día cero de Microsoft

CVE-2026-21510: Fallo en el mecanismo de protección de Microsoft Windows Shell

Afecta a Windows Shell, permitiendo a atacantes no autorizados eludir funciones de seguridad a través de una red. La puntuación CVSS está pendiente, pero la explotación permite la ejecución remota de código (RCE) mediante archivos manipulados o cargas útiles de red. Los atacantes encadenan esto con ingeniería social para obtener acceso inicial.

CVE-2026-21513: Marco de trabajo Microsoft MSHTML

Una falla en el motor MSHTML permite eludir funciones de seguridad de forma remota. A pesar de la depreciación de IE, las integraciones heredadas en Edge y Office exponen a los usuarios. Los exploits involucran contenido web malicioso que desencadena corrupción de memoria, observado en campañas de phishing dirigidas a empresas.

CVE-2026-21514: Dependencia de Microsoft Office Word en entradas no confiables

El análisis de Word maneja incorrectamente entradas no confiables, lo que lleva a una escalada de privilegios local. Los atacantes lo distribuyen mediante archivos .docx maliciosos, evadiendo la Vista Protegida. Esto ha impulsado los dropper de malware basados en documentos en operaciones recientes de APT.

CVE-2026-21519: Confusión de tipos en Microsoft Windows

Una vulnerabilidad de confusión de tipos en el Administrador de Ventanas de Escritorio (DWM) permite la escalada local de privilegios. Usuarios autorizados (por ejemplo, cuentas con bajos privilegios) pueden explotarla para obtener acceso a nivel de SYSTEM, común en cadenas de post-explotación tras un punto de apoyo inicial.

CVE-2026-21525: Desreferencia de puntero NULL en Microsoft Windows

El Administrador de Conexiones de Acceso Remoto sufre una desreferencia de puntero NULL, causando una denegación de servicio (DoS) local. Aunque no es RCE, interrumpe el acceso VPN/remoto, ayudando en ataques DoS para extorsión o como distracción durante ataques más grandes.

CVE-2026-21533: Servicios de Escritorio Remoto de Windows

Una falla en RDS permite la escalada local de privilegios debido a un manejo incorrecto. Crítica para entornos de trabajo remoto, los exploits otorgan a los atacantes derechos de administrador en endpoints comprometidos, facilitando la persistencia y el movimiento lateral.

Microsoft ha lanzado parches en su Patch Tuesday de febrero de 2026, confirmando evidencia pública de explotación. Los detalles completos están disponibles en el Catálogo KEV de CISA y en los registros de CVE.

Estas vulnerabilidades de día cero reflejan una tendencia: el 80% de las adiciones al KEV en 2025 afectaron a Microsoft, según datos de CISA. Actores maliciosos, incluyendo grupos patrocinados por el estado chino como Salt Typhoon, las explotan para compromisos en la cadena de suministro y exfiltración de datos. Los sistemas sin parchear corren el riesgo de ser escaneados automáticamente por herramientas como Shodan, acelerando la velocidad de las brechas.

La BOD 22-01 exige la remediación por parte del FCEB en cuestión de semanas; el incumplimiento conlleva auditorías. El sector privado debería integrar el KEV en sus herramientas de gestión de vulnerabilidades.

• Acciones inmediatas: Aplica los parches de Microsoft mediante WSUS o Intune. Activa las actualizaciones automáticas.
• Detección: Busca IOCs usando EDR (por ejemplo, indicadores de Defender del MSRC). Las reglas YARA para patrones de exploits están surgiendo en GitHub.
• Mitigaciones: Aplica AppLocker, desactiva RDS si no se usa, audita las macros de Office. Segmenta las redes según Zero Trust.
• Largo plazo: Transición a detección y respuesta en endpoints (EDR) con análisis de comportamiento; realiza ejercicios de red team simulando cadenas KEV.

El catálogo de CISA supera ahora las 1.200 entradas y se actualiza semanalmente. Las organizaciones que lo ignoren enfrentan una mayor exposición a brechas recientes como el hackeo de Change Healthcare en 2025, que se originó por KEVs sin parchear.