Microsoft ha confirmado que atacantes están explotando una vulnerabilidad de Windows Shell capaz de eludir una función de seguridad de Windows. El fallo, identificado como CVE-2026-96951, figura también en el catálogo de vulnerabilidades explotadas de CISA. La corrección llegó con las actualizaciones de seguridad del 13 de octubre: si Windows Update aún no la ha instalado, conviene comprobarlo ahora.
El riesgo no consiste en que Windows haya dejado de mostrar todas sus alertas ni en que cada archivo descargado sea malicioso. El problema afecta a una barrera concreta que ayuda a reconocer archivos procedentes de Internet. En un ataque, esa señal puede quedar anulada y el usuario perder una advertencia que normalmente le serviría para detenerse antes de abrir contenido potencialmente peligroso.
Qué hace CVE-2026-96951 y por qué importa
Microsoft clasifica el fallo como una vulnerabilidad de omisión de una función de seguridad en Windows Shell. Su descripción técnica habla de una neutralización incorrecta de elementos especiales usados en un comando, una condición que permite a un atacante no autorizado saltarse esa protección a través de la red. La compañía señala que la vulnerabilidad está siendo explotada; CISA la ha añadido a su catálogo KEV, reservado para fallos con evidencia de abuso real.
La protección afectada está relacionada con Mark of the Web (MotW), la marca de origen que Windows puede asociar a archivos descargados o recibidos desde una zona no confiable. Esa información ayuda al sistema y a determinadas aplicaciones a aplicar precauciones adicionales, como mostrar avisos antes de abrir un documento o ejecutar contenido. No es un antivirus ni garantiza que un archivo sea seguro: es una capa de contexto que permite tratar de forma distinta lo que llega desde Internet.
Por eso el fallo merece atención aunque Microsoft no haya publicado en el aviso consultado una descripción de la campaña, los atacantes o la cadena completa de explotación. La empresa confirma uso activo, pero no detalla públicamente en esa ficha cómo se distribuyen los archivos, qué señuelos se están utilizando ni qué sectores están siendo objetivo. No hay base para atribuirlo a un grupo concreto ni para afirmar que cualquier descarga aprovecha automáticamente la vulnerabilidad.
La actualización de octubre ya contiene la corrección
Microsoft publicó el 13 de octubre su actualización mensual de seguridad para las versiones compatibles de Windows. En Windows 11 24H2, 25H2 y 26H2, el paquete acumulativo aparece como KB5127648. La página de soporte de Microsoft lo identifica para las tres versiones y confirma que se distribuye a través de Windows Update, Windows Update for Business, Microsoft Update Catalog y WSUS.
En un equipo doméstico, el camino más sencillo es abrir Configuración > Windows Update y seleccionar Buscar actualizaciones. Instala las actualizaciones de seguridad disponibles y reinicia cuando Windows lo solicite. Si el dispositivo está gestionado por una empresa, el administrador debe comprobar que el paquete aplicable a esa edición y versión se ha aprobado y desplegado. No conviene instalar un MSU escogido al azar: las ramas de Windows 10 y Windows Server tienen paquetes distintos. La guía oficial y el catálogo de Microsoft permiten localizar el paquete correcto para cada versión.
Para comprobar qué versión utiliza el PC, puede abrirse Configuración > Sistema > Acerca de y revisar la edición y la versión de Windows. Después, en el historial de Windows Update, se puede confirmar si figura la acumulativa de octubre. Si la instalación se pospone por compatibilidad o por una política corporativa, esa decisión debería ir acompañada de una medida temporal definida por el equipo de seguridad; la ficha pública del fallo no propone una mitigación universal que sustituya al parche.
Un cambio de soporte que afecta a algunos usuarios de Windows 11
La actualización trae una advertencia adicional para quienes siguen en Windows 11 24H2 Home o Pro: Microsoft fijó el 13 de octubre como fin de las actualizaciones para esas ediciones, y la acumulativa de octubre es la última que recibirán. La compañía recomienda pasar a una versión más reciente para seguir recibiendo correcciones mensuales. Las ediciones Enterprise y Education de 24H2 conservan otro calendario de soporte.
La distinción importa: instalar KB5127648 es una acción necesaria para recibir la corrección de este mes, pero no devuelve el soporte futuro a una edición que ha llegado a su fecha final. Si el equipo utiliza 24H2 Home o Pro, hay que revisar además la disponibilidad de la actualización a una versión mantenida. No es una recomendación para cambiar de versión a ciegas en un ordenador administrado: en ese caso, la organización debe validar compatibilidad y calendario.
Qué hacer ahora, sin desactivar protecciones
- Instala la actualización acumulativa de octubre correspondiente a tu versión de Windows y reinicia el equipo.
- No desactives los avisos de seguridad ni la marca de origen para evitar molestias. Quitar esa capa reduce la información que Windows puede utilizar para evaluar archivos descargados.
- Desconfía de archivos inesperados recibidos por correo, mensajería o enlaces compartidos, incluso si parecen documentos habituales. Confirma con el remitente por otro canal antes de abrirlos.
- En equipos de empresa, verifica el despliegue en las consolas de gestión y comprueba qué dispositivos siguen pendientes de reinicio o actualización.
- Si sospechas que un archivo se abrió en un equipo sin parche, conserva los registros disponibles y contacta con soporte o con el equipo de respuesta a incidentes; no borres evidencias ni asumas que una alerta ausente demuestra que el archivo era seguro.
La confirmación de explotación cambia la prioridad: no es solo una vulnerabilidad incluida en una lista mensual extensa, sino una corrección que conviene adelantar. El número de CVE corregidas por una actualización no ayuda por sí solo a decidir qué instalar primero; en este caso, la evidencia de ataques y la disponibilidad del parche son los datos operativos relevantes.
La situación recuerda a otros avisos recientes en los que actualizar no basta si el acceso ya se produjo. En Bytecora explicamos también cómo actuar ante la explotación de una vulnerabilidad crítica en Ivanti Connect Secure: aplicar la corrección y revisar posibles indicios de intrusión son tareas diferentes.
Fuentes oficiales
- Microsoft Security Response Center: CVE-2026-96951.
- CISA: catálogo de vulnerabilidades explotadas (KEV).
- Microsoft Support: actualización KB5127648 del 13 de octubre.
- Microsoft Learn: disponibilidad del paquete de seguridad de octubre y estado de soporte de Windows 11 24H2 Home/Pro.
- Microsoft Learn: cómo gestiona Windows la información de zona de origen de archivos adjuntos.
Imagen de portada: ilustración editorial generada para Bytecora. No es una captura de Windows ni representa un ataque real.
