Vulnerabilidad 0-Day de Microsoft Windows Shell explotada activamente en ataques

 

Microsoft ha parcheadado una vulnerabilidad zero-day de Windows Shell activamente explotada que permite a los atacantes saltarse las protecciones de Mark of the Web. Registrado como CVE-2026-96951, el fallo fue corregido en las actualizaciones del Patch Tuesday de octubre de 2026. Tiene una puntuación CVSS de 8,8 y está calificado como Importante por Microsoft.

La vulnerabilidad no se hizo pública antes de la actualización, pero Microsoft confirmó que la explotación ya había ocurrido. Su evaluación de "Explotación Detectada" indica un ataque confirmado en lugar de una posible amenaza futura. El Índice de Explotabilidad de Microsoft aconseja a los clientes dar la máxima prioridad a las actualizaciones aplicables en esta categoría.

Windows Shell 0-Day explotado

El fallo implica la inyección de comandos, donde Windows Shell no gestiona correctamente los elementos especiales usados en un comando. Microsoft describe el resultado como una elusión de características de seguridad disponible para un atacante no autorizado en una red. La explotación exitosa permite al atacante evadir las defensas de la Marca de la Web.

Mark of the Web identifica archivos que provienen de internet y ayuda a Windows a aplicar advertencias u otras comprobaciones de protección. Saltarse esta protección puede eliminar una barrera importante entre un archivo descargado y que un usuario abra contenido peligroso. Sin embargo, el impacto reportado es una emisión de seguridad, no un fallo de ejecución remota de código independiente.

Los atacantes pueden entregar un archivo especialmente creado por correo electrónico o mensajería instantánea y usar ingeniería social para persuadir al objetivo de que lo abra. La explotación requiere acción del usuario. Esto significa que el fallo no debe tratarse como un ataque de cero clics, a pesar de su ruta de entrega basada en red.

Informes anteriores sobre los ataques LNK Stomping de Windows describían otra forma en que los atacantes eludían la Marca de la Web mediante atajos de Windows. Por otro lado, una vulnerabilidad WinZip Mark of the Web mostró cómo la extracción de archivos podía perder etiquetas de origen en internet. Estas son vulnerabilidades separadas, no técnicas confirmadas usadas en los ataques actuales.

El asesor de Microsoft proporcionado acredita a Riku Bamba y Yuya Chudo de Fujitsu Limited, a Benoit Sevens usando Claude con Anthropic, y al investigador yhw. No identifica a los atacantes, sus objetivos, el formato malicioso del archivo ni la escala de la explotación. Esos detalles que faltan limitan las conclusiones sobre la campaña y su alcance.

Los equipos de seguridad deben priorizar las actualizaciones de Windows aplicables y consultar la Guía de Actualizaciones de Seguridad de Microsoft para los productos afectados. Probar y desplegar la solución rápidamente es especialmente importante porque la explotación está confirmada. Los usuarios deben ser cautelosos con los archivos adjuntos inesperados, ya que este ataque depende de persuadir a alguien para que interactúe con contenido controlado por el atacante.

Fuente: CyberNews