Alerta Técnica de Ciberseguridad: Multi-vulnerabilidad crítica en el ecosistema Microsoft
ELABORADO POR: Pedro M. Cacivio (Instel & Seguridad)
FECHA DE CORTE: Octubre de 2026
CRITERIO OPERATIVO: Alta prioridad y criticidad operacional elevada
FUENTES OFICIALES Y TÉCNICAS CITADAS: CERT.AR, INCIBE-CERT, HKCERT, Microsoft Security Response Center (MSRC)
Resumen ejecutivo
El CERT Nacional de la República Argentina (CERT.AR), junto con diversos organismos de respuesta internacional como INCIBE-CERT, han reportado un volumen sin precedentes de actualizaciones de seguridad críticas de Microsoft. Desde Instel & Seguridad, evaluamos y catalogamos estas vulnerabilidades como una de las de mayor impacto del período por la combinación de ejecución remota de código, omisión de controles criptográficos y la existencia de explotación activa.
La principal urgencia recae sobre CVE-2026-96951, que permite anular la protección fundamental “Mark of the Web” (MotW), confirmándose su uso inmediato en campañas y ataques activos en el mundo real.
1. Análisis Técnico de las Vulnerabilidades más Críticas
Hemos seleccionado y desglosado las cinco vulnerabilidades de mayor impacto operacional para las redes corporativas:
A. Windows Shell: Omisión de Mark of the Web (MotW)
- CVE: CVE-2026-96951
- Criticidad: Alta (Explotada activamente)
- Impacto: Permite a un atacante construir archivos maliciosos diseñados para perder la “marca de origen” de Internet. Al ser descargados o recibidos, estos archivos no levantan alertas de Windows, ni activan la “Vista protegida” de Office, ni bloquean su ejecución. Requiere que un usuario abra el archivo (vía phishing, mensajería o descargas directas). Al estar en explotación activa, la amenaza es directa y severa.
B. Microsoft SharePoint: Secuestro de Cuentas sin Autenticación
- CVE: CVE-2026-102866
- Criticidad: Crítica
- Impacto: Una validación defectuosa de firmas criptográficas en el servidor SharePoint permite a un atacante no autenticado suplantar y secuestrar cuentas de usuario dentro de la organización. Un vector de altísimo peligro para redes con portales abiertos o expuestos a Internet.
C. Microsoft Message Queuing (MSMQ): Ejecución Remota de Código (RCE)
- CVE: CVE-2026-100202
- Criticidad: Crítica
- Impacto: Permite a un ciberdelincuente ejecutar código arbitrario de manera remota en cualquier servidor o equipo Windows que tenga habilitado este servicio de mensajería asincrónica.
D. .NET Framework: Omisión de políticas de control (WDAC)
- CVE: CVE-2026-108398
- Criticidad: Alta (Acceso local)
- Impacto: Un atacante con acceso local al sistema puede aprovechar rutas de búsqueda no confiables para burlar las políticas de Control de Aplicaciones de Windows Defender (WDAC), posibilitando la ejecución de programas no autorizados.
E. .NET: Denegación de Servicio (DoS)
- CVE: CVE-2026-92707
- Criticidad: Media / Alta
- Impacto: Un atacante remoto y sin credenciales puede forzar una asignación de memoria incorrecta en servicios y portales web basados en .NET, logrando colapsar e interrumpir la disponibilidad de las aplicaciones de la compañía.
2. Productos Afectados
El alcance compromete a sistemas que no cuenten con los parches de seguridad de Microsoft de octubre de 2026:
- CVE-2026-96951: Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2), Windows Server (2012 R2, 2016, 2019, 2022 y 2025).
- CVE-2026-102866: Microsoft SharePoint.
- CVE-2026-100202: Windows con Message Queuing (MSMQ) habilitado.
- CVE-2026-108398: .NET Framework.
- CVE-2026-92707: .NET.
3. Plan de Mitigación y Recomendaciones Inmediatas
- Prioridad 1 (0 a 24 horas): Instalar con urgencia las actualizaciones de seguridad de Microsoft del 13 de octubre de 2026 en estaciones de trabajo y servidores Windows debido a la explotación activa de CVE-2026-96951.
- Prioridad 2 (24 a 48 horas): Parchear servidores SharePoint accesibles desde Internet. Deshabilitar el servicio MSMQ si no se utiliza, o bloquear el puerto TCP 1801 en los firewalls perimetrales.
- Prioridad 3 (48 a 72 horas): Actualizar .NET y .NET Framework. Reforzar el filtrado de correo perimetral (bloqueo o cuarentena de adjuntos comprimidos protegidos con contraseña).