Windows Shell: Microsoft corrige un bypass de Mark of the Web ya explotado

Microsoft corrigió en su actualización de seguridad del 13 de octubre CVE-2026-96951, un fallo de Windows Shell que ya estaba siendo explotado. El riesgo operativo está en una protección que suele pasar inadvertida hasta que falla: el etiquetado que Windows aplica a archivos obtenidos de Internet. No es una vulnerabilidad de ejecución remota que entregue una consola por sí sola, pero puede permitir que un archivo malicioso evada una advertencia importante antes de ejecutarse.

Un bypass que depende de cómo llega el archivo

Microsoft clasifica el problema como un bypass de característica de seguridad en Windows Shell. El componente implicado es Mark of the Web (MotW), una marca de origen que acompaña a ciertos archivos descargados y ayuda a activar controles como SmartScreen o las vistas protegidas de Office. Al esquivar esa marca, el atacante puede reducir las señales que normalmente alertan sobre un archivo externo.

SecurityWeek reproduce el escenario descrito por Microsoft: un atacante puede enviar un archivo preparado por correo o mensajería, pero debe conseguir que la persona destinataria realice una acción; no puede forzarla a abrir el contenido. Esa condición no vuelve inocuo el fallo: los archivos compartidos entre equipos, técnicos y proveedores siguen entrando en los mismos flujos de trabajo, y una advertencia que no aparece puede cambiar la decisión de ejecución.

-InfraCrew dice: La diferencia entre “el archivo se abre” y “el archivo puede eludir una barrera” cabe en una frase; para el parcheado conviene leer las dos.-

La escala del martes de parches de octubre ayuda a explicar por qué la cifra grande no debe desplazar la prioridad concreta. Según SecurityWeek, Microsoft corrigió 1.413 CVE en su ecosistema ese mes, entre ellas 1.102 asociadas a Windows. Eso no convierte las 1.413 en fallos equivalentes ni en 1.413 incidentes activos: en el caso de CVE-2026-96951, el dato que cambia la cola es la explotación observada, no el tamaño del lote.

CISA añadió la vulnerabilidad al CISA KEV el mismo 13 de octubre y señaló el 16 de octubre como fecha límite para las agencias federales estadounidenses cubiertas por sus directivas. El plazo no se traslada automáticamente a todas las organizaciones, aunque la inclusión en KEV es una señal clara para subirla en la priorización de Windows y comprobar que el parche llegó a los activos expuestos.

-InfraCrew dice: Un Patch Tuesday récord se gestiona mejor por riesgo y cobertura; contar CVE a granel no es un plan de despliegue.-

Qué comprobar en el parque Windows

Empieza por identificar las versiones y ediciones de Windows que siguen en uso y cotejarlas con las actualizaciones publicadas el 13 de octubre. La guía de Microsoft vincula cada CVE con los productos y paquetes aplicables; el número de KB o la compilación exacta dependen del producto instalado, así que conviene verificar ambos antes de declarar el caso cerrado. No presupongas que una estación de trabajo actualizada representa también a los servidores, escritorios virtuales o equipos de soporte remoto.

Después, confirma la cobertura real del despliegue y del reinicio en las consolas de gestión, y revisa que los equipos que reciben adjuntos o descargas de terceros no hayan quedado fuera de los anillos de actualización. Las estaciones administrativas, los puestos de salto y los equipos que procesan documentos de clientes merecen aparecer en esa comprobación. Si el despliegue requiere una ventana, documenta los activos pendientes y su responsable; no sustituyas la actualización por una lista genérica de controles.

La explotación activa tampoco demuestra por sí sola qué campaña, sector o volumen de víctimas está implicado. SecurityWeek señala que Microsoft no publicó detalles sobre los ataques observados. No hay base aquí para afirmar uso de ransomware ni atribuir la actividad a un grupo concreto; la decisión defendible es tratar el CVE como explotado, aplicar el paquete correspondiente y revisar el registro de seguridad según la política de respuesta de cada organización.

-InfraCrew dice: Un inventario que no distingue portátil, VDI y servidor acaba certificando el parque imaginario.-

Diccionario de la Crew

Mark of the Web (MotW) — marca que identifica ciertos archivos como procedentes de Internet y permite que Windows active advertencias o restricciones.

CISA KEV — catálogo de vulnerabilidades que CISA considera explotadas en la práctica; sus fechas obligatorias se aplican a las entidades federales estadounidenses sujetas a sus directivas.

Bypass de característica de seguridad — fallo que permite evitar una protección existente sin implicar necesariamente ejecución de código por sí mismo.