Microsoft confirmó que hackers están explotando fallos de día cero en Windows y Office para comprometer equipos de usuarios. Estos ataques requieren una mínima interacción —como hacer clic en un enlace o abrir un archivo malicioso— y pueden dar acceso completo al sistema.
Los riesgos asociados incluyen la ejecución silenciosa de malware con privilegios elevados, el posible despliegue de ransomware, el robo de información sensible e inteligencia corporativa y el compromiso persistente del sistema, lo que representa una amenaza significativa para la seguridad y estabilidad de la infraestructura tecnológica.
La compañía lanzó actualizaciones de seguridad urgentes para mitigar el riesgo, pero advirtió que los exploits ya circulan públicamente. Por su parte, el experto en seguridad Dustin Childs destacó que un bug de ‘one-click’ con ejecución de código es raro y especialmente peligroso.
TE PUEDE INTERESAR: “La resiliencia de los datos es el nuevo blindaje empresarial”: Veeam
Vulnerabilidades críticas identificadas por Microsoft
- CVE-2026-21510 (Windows Shell):
- Afecta a todas las versiones soportadas de Windows.
- Permite a los atacantes bypassear Microsoft SmartScreen, que normalmente bloquea enlaces y archivos sospechosos.
- Un clic en un enlace o archivo puede ejecutar malware con altos privilegios.
- Confirmado por Google Threat Intelligence Group como explotado de forma activa y generalizada.
- CVE-2026-21513 (MSHTML):
- Relacionado con el motor heredado de Internet Explorer, aún presente por compatibilidad.
- Permite a los atacantes evadir medidas de seguridad y plantar malware.
- Otros tres fallos de día cero:
- Microsoft no detalló públicamente, pero confirmó que también estaban siendo explotados.
- Reportados por investigadores independientes como Brian Krebs.
Recomendaciones para usuarios y empresas
- Actualizar inmediatamente Windows y Office con los parches de seguridad más recientes.
- Evitar abrir enlaces o archivos sospechosos recibidos por correo electrónico o mensajería.
- Implementar políticas de seguridad Zero Trust para limitar privilegios y accesos.
- Monitorizar actividad inusual en sistemas corporativos.
- Capacitar a empleados sobre riesgos de phishing y enlaces maliciosos.
Foto: Freepik.