Microsoft ha revelado dos vulnerabilidades de omisión de funciones de seguridad de Windows BitLocker que podrían permitir a atacantes con acceso físico debilitar las protecciones del dispositivo.

Publicados el 10 de noviembre de 2026, los fallos se rastrean como CVE-2026-97015 y CVE-2026-119832. Microsoft califica ambos como Importantes, con puntuaciones base CVSS de 6,8 y 5,9, respectivamente. Los errores tienen causas y requisitos de acceso diferentes, por lo que debes evaluar cada uno por separado.

Para el CVE-2026-119832, Microsoft confirma que un atacante exitoso podría omitir el cifrado de dispositivo de BitLocker en el dispositivo de almacenamiento del sistema y acceder a los datos cifrados.

El ataque requiere acceso físico y privilegios de usuario básicos. No requiere que otro usuario haga clic en un enlace, abra un archivo o apruebe un aviso. El CVE-2026-97015 se deriva de un desbordamiento de búfer basado en el montón, clasificado como CWE-122. Este tipo de fallo ocurre cuando el software escribe más allá del espacio de memoria reservado para un búfer.

Vulnerabilidades de Windows BitLocker

Microsoft afirma que un atacante no autorizado puede utilizar la debilidad para omitir una función de seguridad a través de un ataque físico. No se requieren privilegios existentes ni interacción del usuario, y la complejidad del ataque se califica como baja.

El CVE-2026-119832 implica un control de acceso inadecuado en lugar de un error de manejo de memoria. Un atacante necesita privilegios bajos, pero la explotación no requiere interacción del usuario.

Según el aviso de Microsoft, la vulnerabilidad no fue revelada públicamente ni se sabe que haya sido explotada en el momento del lanzamiento. Microsoft califica la explotación como menos probable y otorga el crédito al investigador yhw.

Estas revelaciones siguen a vulnerabilidades anteriores de omisión de Windows BitLocker y a las actualizaciones de seguridad de BitLocker de octubre de 2026. El CVE-2026-119832 afecta a las versiones 1809, 21H2 y 22H2 de Windows 10, a varias versiones de Windows 11 y a Windows Server 2019, 2022 y 2025. Las plataformas de procesadores compatibles varían según la versión.

El CVE-2026-97015 tiene una lista de productos afectados más amplia que también incluye ramas más antiguas de Windows Server. Debes revisar ambos registros en lugar de confiar en una única lista de dispositivos compartidos.

Microsoft enumera el KB5131096 para los sistemas Windows 10 21H2 y 22H2 afectados, el KB5131087 para Windows 11 23H2 y el KB5132059 para Windows 11 26H1 bajo el CVE-2026-119832. Las actualizaciones de servidor incluyen el KB5131085 para Server 2019 y el KB5131090 para Server 2022.