El 10 de marzo de 2026, Microsoft lanzó actualizaciones de seguridad para solucionar una vulnerabilidad crítica en su ampliamente utilizado paquete Office. Identificada como CVE-2026-26110, esta falla de seguridad permite a un atacante no autorizado ejecutar código malicioso en el dispositivo de la víctima.

El 10 de marzo de 2026, Microsoft lanzó actualizaciones de seguridad para abordar una vulnerabilidad crítica en su ampliamente utilizada suite Office.

Registrada como CVE-2026-26110, esta falla de seguridad permite a un atacante no autorizado ejecutar código malicioso en el dispositivo de una víctima.

Con una calificación de gravedad alta y una puntuación base CVSS de 8.4 sobre 10, la vulnerabilidad afecta a una amplia gama de aplicaciones de Microsoft Office en plataformas Windows, Mac y Android.

El problema central detrás de CVE-2026-26110 es una debilidad conocida como «Confusión de Tipos» (CWE-843). Esto ocurre cuando el software asigna o inicializa un recurso, como un puntero, objeto o variable, de un tipo específico, pero luego intenta acceder a él con un tipo diferente e incompatible.

Debido a que el recurso no tiene las propiedades esperadas, esto resulta en errores lógicos y accesos a memoria fuera de límites.

Los atacantes pueden explotar un manejo incorrecto de tipos para eludir restricciones de software previstas, acceder a regiones de memoria no deseadas y ejecutar comandos no autorizados en el sistema objetivo.

Vulnerabilidad en Microsoft Office permite ataques de Ejecución Remota de Código (RCE)

Aunque la falla está etiquetada como una vulnerabilidad de «Ejecución Remota de Código» (RCE), el vector de ataque real es local.

Como explica el aviso de seguridad de Microsoft, el término «remoto» se refiere a la ubicación del atacante, no a cómo se implementa el código.

Para explotar con éxito esta vulnerabilidad, el código malicioso debe ejecutarse desde la máquina local.

Esto significa que el atacante o la víctima desprevenida debe activar el payload localmente, una técnica conocida como Ejecución Arbitraria de Código (ACE).

Uno de los aspectos más preocupantes de CVE-2026-26110 es su baja complejidad de ataque y el hecho de que no requiere privilegios elevados ni interacción del usuario para funcionar.

En particular, el Panel de Vista Previa de Windows es un vector de ataque confirmado. Esto significa que una víctima ni siquiera necesita hacer doble clic en un documento malicioso para ser comprometida.

Simplemente resaltar el archivo y verlo en el Panel de Vista Previa es suficiente para activar el exploit y dar al atacante control sobre el sistema local.

Afortunadamente, Microsoft informa que no se ha demostrado código de explotación para esta vulnerabilidad, y no hay casos conocidos de que se esté explotando activamente en la naturaleza.

Un investigador anónimo reveló responsablemente la vulnerabilidad, y Microsoft considera que la explotación futura es «poco probable», dando a los defensores una ventana crítica para aplicar las actualizaciones.

Sin embargo, el alcance del software afectado es masivo, alineándose con la escala de otras grandes vulnerabilidades del Patch Tuesday. Los productos vulnerables incluyen:

• Microsoft Office 2016 y 2019 (ediciones de 32 y 64 bits)
• Microsoft 365 Apps para Empresas (ediciones de 32 y 64 bits)
• Microsoft Office LTSC 2021 y 2024 (ediciones para Windows y Mac)
• Microsoft Office para Android

Microsoft ya ha proporcionado correcciones oficiales para todos los productos afectados. Los profesionales de ciberseguridad y administradores de TI deben tomar medidas inmediatas para proteger sus entornos:

• Aplicar Actualizaciones Oficiales: Descarga e instala inmediatamente los parches de seguridad del 10 de marzo de 2026 para todas las instalaciones de Office en Windows y Mac en tu red.
• Actualizar Aplicaciones Móviles: Asegúrate de que los usuarios móviles actualicen la aplicación Microsoft Office para Android directamente desde Google Play Store.
• Desactivar el Panel de Vista Previa: Si no es posible aplicar el parche de inmediato, considera desactivar el Panel de Vista Previa del Explorador de Archivos en Windows como medida de defensa temporal para eliminar el vector de ataque más accesible.