CVE-2026-96951: se explota la omisión de Mark of the Web en Windows Shell: instale la actualización de octubre

Microsoft cerró el 13 de octubre de 2026, con las actualizaciones mensuales de seguridad, una vulnerabilidad en Windows Shell que ya se está utilizando para ataques. La vulnerabilidad tiene el identificador CVE-2026-96951 y Microsoft la califica como «Important» con CVSS 8.8. Un atacante envía un archivo manipulado por correo electrónico o mensaje instantáneo; si la víctima lo abre, la protección de Mark of the Web (MotW) no se aplica. Microsoft informa de que ha detectado explotación, y la agencia estadounidense CISA incluyó la vulnerabilidad ese mismo día en su catálogo de vulnerabilidades explotadas conocidas (KEV). Hay actualizaciones disponibles para todas las versiones de Windows indicadas; Microsoft no menciona ninguna solución alternativa.

Lo más importante en breve

Versiones afectadas y actualizaciones

La información procede del Security Update Guide de Microsoft. En cada caso, se ve afectada cualquier compilación inferior a la indicada.

Para Windows 10 22H2, el Security Update Guide indica la compilación 10.0.19044.7807. En cambio, la página KB de Microsoft indica KB5126657 con la compilación 19045.7807 para 22H2 y 19044.7807 para 21H2; la tabla sigue la página KB. Windows 10 22H2 y Windows Server 2012 R2 aparecen en el Security Update Guide únicamente como entradas ESU. Los dispositivos sin Extended Security Updates no reciben la actualización y siguen siendo vulnerables.

Para Outlook.com, Microsoft no proporciona más detalles aparte del número de versión 20260925.100 y la referencia a las notas de la versión.

Para comprobar si la actualización está instalada, use Get-HotFix localmente o para varios equipos:

Get-HotFix -Id KB5126655 -ComputerName srv01.example.com, srv02.example.com

Si el comando no devuelve ningún resultado para un equipo, falta la actualización en ese equipo. Get-HotFix lee la clase WMI Win32_QuickFixEngineering y muestra únicamente las actualizaciones instaladas mediante Component Based Servicing.

Lo que se sabe sobre la explotación

Microsoft describe en las preguntas frecuentes del aviso un escenario de ataque por correo electrónico o mensaje instantáneo: el atacante envía a la víctima un archivo manipulado. No puede obligarla a abrirlo y debe lograr que haga clic en un enlace o abra un archivo adjunto. La consecuencia es una omisión de Mark of the Web. Mark of the Web es la marca que Windows añade a los archivos procedentes de Internet; según el análisis de CrowdStrike, activa, entre otras cosas, la vista protegida en Office y la advertencia SmartScreen para programas descargados.

Microsoft clasifica la vulnerabilidad como explotada y como no conocida públicamente antes del Patch Tuesday. Según Tenable, es la tercera vulnerabilidad de Windows Shell explotada este año, después de CVE-2026-21510 (febrero) y CVE-2026-32202 (abril).

A fecha del 14 de octubre de 2026, no hay información pública sobre atacantes, campañas, objetivos, tipos de archivo utilizados ni indicadores. CISA indica como «Unknown» el uso por parte de grupos de ransomware.

Medidas inmediatas

1. Instalar la actualización: instale la actualización acumulativa de octubre de la tabla en todos los clientes y servidores Windows, y reinícielos. Microsoft exige un reinicio para todas las entradas. Los clientes con acceso al correo electrónico y al chat deben actualizarse primero, porque el escenario de ataque descrito se inicia allí.

2. Comprobar el estado de instalación: use Get-HotFix o su propia gestión de actualizaciones para demostrar que la actualización está instalada en todos los dispositivos y actualizar los casos pendientes.

3. Tratar los sistemas sin actualización: Windows 10 22H2 y Windows Server 2012 R2 sin ESU no reciben la actualización. Incorpore estos dispositivos al programa ESU, actualícelos a una versión compatible o sepárelos del tráfico de correo y chat.

4. Reducir la exposición: dado que Microsoft no menciona ninguna solución alternativa, hasta instalar la actualización solo queda dificultar la entrega de archivos manipulados. El filtrado de archivos adjuntos en la puerta de enlace de correo o en Exchange Online Protection y la comprobación de enlaces reducen la cantidad de archivos que llegan al usuario. Se debe informar a los usuarios de que actualmente hay ataques con archivos adjuntos manipulados.

Comprobación de compromisos

Microsoft, CISA y los análisis consultados no mencionan, a fecha del 14 de octubre de 2026, indicadores (nombres de archivo, hashes, direcciones IP o dominios). Por tanto, no es posible realizar una búsqueda específica de esta vulnerabilidad. Además de la actualización, CISA exige a los organismos federales de EE. UU. un triaje forense conforme a las directrices de la norma BOD 26-04.

La actualización cierra la vulnerabilidad, pero no revierte el malware que ya se haya ejecutado. Por ello, es recomendable:

1. Comprobar las alertas de la solución de seguridad de endpoints (por ejemplo, Microsoft Defender for Endpoint) de las últimas semanas en busca de archivos iniciados desde adjuntos de correo electrónico, mensajes de chat o descargas.

2. Comprobar los registros de la puerta de enlace de correo y de cuarentena en busca de adjuntos y enlaces que los usuarios hayan informado o liberado pese a la advertencia.

3. Aislar los dispositivos sospechosos y guardar los registros antes de limpiarlos para que siga siendo posible un análisis forense.

4. Supervisar el aviso: si Microsoft complementa el aviso o una empresa de seguridad publica indicadores, repita la búsqueda con ellos.

Contexto

Windows Shell forma parte de todas las instalaciones de Windows; por ello, CrowdStrike considera que prácticamente toda la base de Windows está entre los sistemas afectados. El escenario de ataque se basa en el usuario: basta con un adjunto o enlace por correo electrónico o chat si la víctima lo abre. Mark of the Web es la base de varias funciones de protección de Windows y Office; su omisión elimina advertencias que, de otro modo, los usuarios verían antes de abrir un archivo. No se encontró ningún comunicado del Centro Nacional de Ciberseguridad (NCSC) ni de otros CERT europeos sobre CVE-2026-96951 hasta el 14 de octubre de 2026.