Microsoft ha lanzado una actualización de seguridad que soluciona una vulnerabilidad crítica en Microsoft Edge que podría permitir a atacantes remotos ejecutar código arbitrario en sistemas vulnerables.

Identificada como CVE-2026-45495 y reportada por Orange Tsai de DEVCORE, el fallo tiene una puntuación CVSS v3 de 7,5 y requiere la interacción del usuario, por ejemplo, visitar una página web maliciosa o abrir un archivo manipulado, para ser explotado.

La vulnerabilidad se debe a una validación incorrecta durante el procesamiento de los archivos de registro de comentarios de Edge. Específicamente, Edge no validó correctamente una ruta de archivo proporcionada por el usuario antes de realizar operaciones de archivo.

Un atacante que logre engañar a un usuario para que abra un archivo malicioso o visite una página manipulada podría explotar este fallo junto con otros errores para ejecutar código en el contexto del usuario que haya iniciado sesión.

Debido a que el exploit se ejecuta con los privilegios del usuario actual, el impacto oscila desde el robo de datos y el compromiso del perfil del navegador hasta la persistencia local o el movimiento lateral donde existan privilegios más altos.

Según el aviso público, la causa raíz es un defecto de validación de rutas en el manejo de los registros de comentarios. Al proporcionar una ruta especialmente diseñada, un atacante puede influir en las operaciones de archivos en una ubicación no deseada.

Aunque el aviso de Microsoft no publica el código del exploit, las características de la vulnerabilidad (manipulación de la ruta de acceso a archivos más la necesidad de interacción del usuario) hacen que los vectores de ingeniería social —adjuntos maliciosos, páginas de descarga automática o descargas envenenadas— sean los mecanismos de entrega más probables.

El lanzamiento de Microsoft también coordinó actualizaciones para dos fallos adicionales de Edge descubiertos por el mismo grupo de investigadores:

• CVE-2026-45494 (CVSS 5.0): Una debilidad en el manejo de la navegación que puede permitir la inyección de scripts de origen cruzado; requiere interacción del usuario.
• CVE-2026-45492 (CVSS 4.3): Validación de origen insuficiente en el inicio de sesión gestionado entre dispositivos, lo que puede exponer funcionalidades restringidas y encadenarse con otros problemas.

Microsoft ha publicado correcciones e instó a los usuarios y administradores a aplicar las actualizaciones inmediatamente. Acciones recomendadas:

• Actualiza Edge a la última versión estable a través de Microsoft Update o la página "Acerca de Edge".
• Aplica los parches del sistema operativo si Microsoft Update te lo solicita.
• Bloquea o examina minuciosamente los adjuntos y enlaces no confiables en el correo electrónico y las aplicaciones de mensajería.
• Utiliza cuentas de privilegios mínimos para tus actividades diarias para limitar el impacto de un exploit.
• Supervisa los sistemas de detección de endpoints para detectar operaciones de archivos inusuales o nuevos mecanismos de persistencia vinculados a procesos del navegador.

Las vulnerabilidades fueron reportadas a Microsoft el 20 de mayo de 2026, y los avisos públicos coordinados fueron publicados y actualizados el 4 de junio de 2026. Se reconoce a Orange Tsai (@orange_8361) del equipo de investigación de DEVCORE (@d3vc0r3) por los hallazgos.

Si eres administrador, debes priorizar la actualización de CVE-2026-45495 dado su potencial de ejecución de código y asegurar el parcheo en todos los endpoints de usuario para reducir la exposición.