Una vulnerabilidad de día cero en el marco Microsoft HTML (MSHTML) fue explotada activamente en la naturaleza. La vulnerabilidad, identificada como CVE-2026-21513, permite a los atacantes eludir funciones de seguridad y ejecutar archivos arbitrarios. Con una puntuación CVSS de 8.8, afecta a todas las versiones de Windows. Investigadores de seguridad de Akamai descubrieron que el grupo de amenazas patrocinado por el Estado ruso APT28 .

Una vulnerabilidad zero-day en el framework Microsoft HTML (MSHTML) fue explotada activamente en la naturaleza. La vulnerabilidad, identificada como CVE-2026-21513, permite a los atacantes eludir funciones de seguridad y ejecutar archivos arbitrarios. Con una puntuación CVSS de 8.8, afecta a todas las versiones de Windows.

Investigadores de seguridad de Akamai descubrieron que el grupo de amenazas patrocinado por el estado ruso APT28 estaba atacando Microsoft antes de que la compañía lanzara un parche en febrero de 2026.

Los investigadores de Akamai utilizaron PatchDiff-AI, un sistema de IA multiagente, para realizar un análisis automatizado de la causa raíz.

Descubrieron que la falla reside en ieframe.dll, específicamente dentro de la función _AttemptShellExecuteForHlinkNavigate, que gestiona la navegación de hipervínculos.

La vulnerabilidad surge de una validación insuficiente de las URLs de destino. Este descuido permite que la entrada controlada por el atacante alcance rutas de código que invocan ShellExecuteExW.

Como consecuencia, se pueden ejecutar recursos locales o remotos fuera del contexto de seguridad previsto del navegador.

Los investigadores correlacionaron la ruta de código vulnerable con inteligencia de amenazas pública e identificaron una muestra maliciosa en VirusTotal enviada el 30 de enero de 2026.

La muestra, llamada document.doc.LnK.download, está vinculada a infraestructura asociada con APT28. La carga útil utiliza un archivo de acceso directo de Windows (.lnk) especialmente diseñado que incrusta un archivo HTML inmediatamente después de la estructura LNK estándar.

Al ejecutarse, el archivo LNK se conecta a wellnesscaremed[.]com, un dominio atribuido a las campañas de múltiples etapas de APT28.

Según el análisis de Akamai, el exploit utiliza iframes anidados y múltiples contextos del Modelo de Objetos del Documento (DOM) para manipular los límites de confianza.

Esta técnica elude la Marca de la Web (MotW) y la Configuración de Seguridad Mejorada de Internet Explorer (IE ESC).

Al degradar el contexto de seguridad, el atacante puede activar el flujo de navegación vulnerable y ejecutar código arbitrario.

Microsoft solucionó la vulnerabilidad en la actualización del Martes de Parches de febrero de 2026. La corrección introduce una validación más estricta para protocolos de hipervínculos.

Garantiza que los protocolos admitidos, como file://, http:// y https://, se ejecuten dentro del contexto del navegador en lugar de ser pasados directamente a ShellExecuteExW.

Indicadores de Compromiso (IOCs)

Los investigadores de Akamai han proporcionado los siguientes IOCs para ayudar a los defensores de redes:

Akamai advierte que, aunque los ataques observados utilizan una campaña específica que emplea archivos .LNK maliciosos, la vulnerabilidad puede ser activada por cualquier componente que incruste MSHTML.

Se recomienda a las organizaciones que apliquen las actualizaciones de seguridad de febrero de 2026 para mitigar el riesgo y mantenerse alerta ante mecanismos de entrega alternativos.