Microsoft ha corregido una vulnerabilidad de día cero en Windows Shell (CVE-2026-96951) que estaba siendo explotada activamente para evadir las protecciones de Mark of the Web. Este fallo, calificado como Importante con una puntuación CVSS de 8.8, fue solucionado en las actualizaciones de Patch Tuesday de octubre de 2026.

Microsoft ha parcheado una vulnerabilidad de día cero de Windows Shell explotada activamente que permite a los atacantes saltarse las protecciones de Mark of the Web (Marca de la Web). Identificada como CVE-2026-96951, el fallo fue solucionado en las actualizaciones del Patch Tuesday de octubre de 2026. Tiene una puntuación CVSS de 8.8 y está calificada como Importante por Microsoft.

La vulnerabilidad no fue revelada públicamente antes de la actualización, pero Microsoft confirmó que la explotación ya había ocurrido. Su evaluación de “Explotación Detectada” señala un ataque confirmado en lugar de una posible amenaza futura. El Índice de Explotabilidad de Microsoft aconseja a los clientes dar la máxima prioridad a las actualizaciones aplicables en esta categoría.

Explotación del Día Cero de Windows Shell

El fallo implica una inyección de comandos, donde Windows Shell no maneja correctamente elementos especiales utilizados en un comando. Microsoft describe el resultado como una evasión de una función de seguridad disponible para un atacante no autorizado a través de una red. Una explotación exitosa permite al atacante evadir las defensas de Mark of the Web.

Mark of the Web identifica los archivos que provienen de internet y ayuda a Windows a aplicar advertencias u otros controles protectores. Saltarse esta protección puede eliminar una barrera importante entre un archivo descargado y que tú abras contenido peligroso. Sin embargo, el impacto reportado es una evasión de seguridad, no un fallo de ejecución remota de código independiente.

Los atacantes pueden enviar un archivo especialmente diseñado a través de correo electrónico o mensajería instantánea y utilizar ingeniería social para persuadirte de que lo abras. La explotación requiere una acción del usuario. Esto significa que el fallo no debe tratarse como un ataque de "cero clics", a pesar de su ruta de entrega basada en la red.

Informes anteriores sobre los ataques de Windows LNK Stomping describieron otra forma en que los atacantes evadían Mark of the Web a través de accesos directos de Windows. Por separado, una vulnerabilidad de Mark of the Web en WinZip mostró cómo la extracción de archivos podía perder las etiquetas de origen de internet. Estas son vulnerabilidades distintas, no técnicas confirmadas utilizadas en los ataques actuales.

El aviso proporcionado por Microsoft acredita a Riku Bamba y Yuya Chudo de Fujitsu Limited, a Benoit Sevens utilizando Claude de Anthropic, y al investigador yhw. No identifica a los atacantes, sus objetivos, el formato del archivo malicioso ni la escala de la explotación. Esos detalles faltantes limitan las conclusiones sobre la campaña y su alcance.

Tus equipos de seguridad deberían priorizar las actualizaciones aplicables de Windows y consultar la Guía de Actualizaciones de Seguridad de Microsoft para los productos afectados. Probar y desplegar la corrección rápidamente es especialmente importante porque la explotación está confirmada. Debes mantenerte cauteloso con los archivos adjuntos inesperados, ya que este ataque depende de persuadir a alguien para que interactúe con contenido controlado por el atacante.