CISA de EE. UU. añade vulnerabilidad en Microsoft Windows Shell a su catálogo de Vulnerabilidades Conocidas Explotadas.

⟫ 14/10/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) ha añadido una grave vulnerabilidad en Microsoft Windows Shell, identificada como CVE-2026-96951, a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV). Esta vulnerabilidad presenta un índice de gravedad CVSS de 8.8, lo que la sitúa en un nivel crítico. La reciente actualización de seguridad de Microsoft, correspondiente al Patch Tuesday de octubre de 2026, aborda un récord de 1,415 vulnerabilidades, entre las cuales se incluye esta vulnerabilidad de día cero, que está siendo objeto de ataques activos.

CVE-2026-96951 se describe como una vulnerabilidad de inyección de comandos en Windows Shell que permite a un atacante no autorizado eludir las protecciones de seguridad a través de una red. La explotación de esta vulnerabilidad puede evadir las defensas de Mark of the Web (MOTW), una medida de seguridad diseñada para proteger a los usuarios de archivos potencialmente peligrosos que se descargan desde Internet. Microsoft ha confirmado que esta vulnerabilidad está siendo explotada actualmente en el entorno real, lo que eleva su nivel de riesgo para los usuarios y organizaciones.

En su aviso, la CISA explica que "un atacante que logre explotar con éxito la vulnerabilidad podría eludir las defensas de Mark of the Web (MOTW)". En un escenario de ataque a través de correos electrónicos o mensajes instantáneos, el atacante podría enviar al usuario objetivo un archivo especialmente diseñado para explotar la vulnerabilidad. Sin embargo, el atacante no podría forzar al usuario a visualizar contenido controlado por él; en cambio, tendría que convencer al usuario para que realice alguna acción. Esto podría manifestarse, por ejemplo, en la forma de un enlace que redirige al usuario al sitio del atacante o en un archivo adjunto malicioso.

Según la Directiva Operacional Vinculante (BOD) 22-01, que busca reducir el riesgo significativo de vulnerabilidades conocidas explotadas, las agencias del FCEB (Federal Civilian Executive Branch) deben abordar las vulnerabilidades identificadas antes de la fecha límite para proteger sus redes de ataques que explotan las fallas en el catálogo. En este contexto, CISA ha ordenado a las agencias federales que corrijan la vulnerabilidad antes del 16 de octubre de 2026.

Además, la CISA ha añadido otra vulnerabilidad relacionada con Ivanti Connect Secure FortiMail, catalogada como CVE-2026-104935, con un índice CVSS de 8.6. Esta vulnerabilidad se clasifica como un problema de elusión de autenticación causado por suplantación en las versiones de ICS anteriores a 25.1.3.0, lo que podría permitir a un atacante remoto y no autenticado ejecutar comandos arbitrarios. Es relevante destacar que las versiones de ICS 22.7R2.14 y anteriores no se ven afectadas.

La gravedad de estas vulnerabilidades subraya la importancia de que tanto entidades gubernamentales como organizaciones privadas revisen el catálogo de vulnerabilidades y tomen las medidas necesarias para remediar las debilidades en su infraestructura. La rápida evolución del panorama de amenazas exige una respuesta proactiva y coordinada para mitigar los riesgos asociados con estas vulnerabilidades que, si son explotadas, pueden comprometer la seguridad de datos sensibles y sistemas críticos.

El impacto de estas vulnerabilidades no solo se limita a las agencias federales, sino que también afecta a empresas de todos los tamaños que utilizan productos de Microsoft y otros sistemas afectados. La necesidad de implementar una gestión adecuada de vulnerabilidades y mantener actualizados los sistemas es más importante que nunca en este contexto de ciberamenazas en constante evolución.

◢ VULNERABILIDADES ◣

U.S. CISA adds Microsoft Windows Shell flaw to its Known Exploited Vulnerabilities catalog

⟫ 14/10/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

The U.S. Cybersecurity and Infrastructure Security Agency (CISA)addeda Microsoft Windows Shell flaw, tracked asCVE-2026-96951(CVSS score of 8.8), to itsKnown Exploited Vulnerabilities (KEV) catalog. Microsoft Patch Tuesday security updates for October 2026address a record 1,415 vulnerabilities, including a zero-day under active attack. The flaw, tracked asCVE-2026-96951, is a Windows Shell command injection vulnerability that allows an unauthorized attacker to bypass security protections over a network. Exploitation can evade Mark of the Web (MOTW) defenses, which help protect users from potentially dangerous files downloaded from the internet. Microsoft confirmed that the flaw is being actively exploited. “An attacker who successfully exploited the vulnerability could evade Mark of the Web (MOTW) defenses.”reads the advisory. “In an email or instant message attack scenario, the attacker could send the targeted user a specially crafted file that is designed to exploit the vulnerability. In any case an attacker would have no way to force a user to view attacker-controlled content. Instead, an attacker would have to convince a user to take action. For example, an attacker could entice a user to either click a link that directs the user to the attacker’s site or send a malicious attachment.” According toBinding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities, FCEB agencies have to address the identified vulnerabilities by the due date to protect their networks against attacks exploiting the flaws in the catalog. Experts also recommend that private organizations review theCatalogand address the vulnerabilities in their infrastructure. CISA orders federal agencies to fix the flaw by October 16, 2026. The U.S. Cybersecurity and Infrastructure Security Agency (CISA) also added an Ivanti Connect Secure FortiMail flaw, tracked asCVE-2026-104935(CVSS score of 8.6), to its Kev Catalog. The vulnerability is an authentication bypass issue caused by spoofing in ICS versions before 25.1.3.0 that could allow a remote, unauthenticated attacker to execute arbitrary commands. ICS versions 22.7R2.14 and earlier are not affected. Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking,CISA)

← VOLVER A CIBERSEGURIDAD