Microsoft ha lanzado un parche de seguridad urgente para una crítica vulnerabilidad de día cero (CVE-2026-21513) que afecta al MSHTML Framework, la cual fue explotada activamente antes de que se dispusiera de una solución. La falla permite a los atacantes eludir las funciones de seguridad de Windows sin necesidad de privilegios elevados, poniendo en riesgo a millones de sistemas.

Microsoft ha lanzado un parche de seguridad urgente para una vulnerabilidad crítica de día cero (CVE-2026-21513) que afecta al Framework MSHTML y que fue explotada activamente antes de que estuviera disponible una solución.

La falla permite a los atacantes eludir las funciones de seguridad de Windows sin necesidad de privilegios elevados, poniendo en riesgo a millones de sistemas.

CVE-2026-21513 es una vulnerabilidad de elusión de funciones de seguridad en el Framework MSHTML de Microsoft, el motor central de renderizado HTML utilizado en los sistemas operativos Windows y diversas aplicaciones.

La vulnerabilidad surge de un fallo en un mecanismo de protección que permite a los atacantes eludir los avisos de ejecución cuando los usuarios interactúan con archivos maliciosos.

El Framework MSHTML, también conocido como Trident, es un motor de navegador propietario que renderiza páginas web y contenido HTML dentro de aplicaciones en sistemas Windows.

Esta profunda integración significa que la vulnerabilidad puede afectar a una amplia gama de sistemas y usuarios en entornos empresariales.

La explotación requiere tácticas de ingeniería social en las que los atacantes convencen a las víctimas de abrir archivos HTML especialmente diseñados o archivos de acceso directo maliciosos (.lnk).

Estos archivos pueden distribuirse a través de múltiples vectores, como adjuntos de correo electrónico, enlaces maliciosos o descargas.

Una vez abiertos, el archivo manipulado elude silenciosamente los avisos de seguridad de Windows y desencadena acciones peligrosas con un solo clic.

La vulnerabilidad manipula cómo Windows Shell y MSHTML manejan el contenido incrustado, permitiendo que el sistema operativo procese y ejecute contenido sin una validación de seguridad adecuada.

El atacante no necesita privilegios, y el vector de ataque es basado en red y de baja complejidad.

Microsoft confirmó que CVE-2026-21513 fue tanto divulgada públicamente como explotada activamente como día cero antes de que los parches estuvieran disponibles.

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) añadió esta vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas, exigiendo a las agencias federales que apliquen las correcciones antes del 3 de marzo de 2026.

Las vulnerabilidades de elusión de funciones de seguridad aumentan significativamente la tasa de éxito de las campañas de phishing y malware.

En entornos empresariales, esta falla puede llevar a la ejecución no autorizada de código, el despliegue de malware y ransomware, el robo de credenciales, filtraciones de datos y la completa compromisión del sistema.

La vulnerabilidad afecta a todas las versiones compatibles de Windows, incluyendo Windows 10, Windows 11 y las ediciones de Windows Server desde 2012 hasta 2025.

Microsoft lanzó actualizaciones de seguridad el 10 de febrero de 2026 como parte de su ciclo mensual de Patch Tuesday.

Las organizaciones deben priorizar la aplicación de este parche de inmediato, especialmente dado que está siendo explotado activamente en ataques del mundo real.