Windows Shell CVE-2026-96951: inyección de comandos explotada

📌 Novedades posteriores: Patch Tuesday de octubre 2026: más de 1.400 fallos y prioridades (13 de octubre de 2026)

El 13 de octubre de 2026 la CISA añadió a su catálogo Known Exploited Vulnerabilities (KEV) la CVE-2026-96951, una vulnerabilidad de inyección de comandos en Windows Shell, el componente de Microsoft Windows que gestiona la interfaz gráfica y la apertura de archivos y accesos directos. Microsoft publicó la ficha ese mismo día, el segundo martes del mes, cuando salen las actualizaciones mensuales de Windows. Microsoft la califica como alta: CVSS 3.1 8.8.

Su inclusión en el catálogo KEV indica que la CISA tiene pruebas de explotación activa. El plazo fijado para las agencias federales estadounidenses es el 16 de octubre de 2026: tres días.

Qué ha pasado

La CISA incluyó la vulnerabilidad en el KEV con la descripción “Microsoft Windows Command Injection Vulnerability”. En el catálogo, su uso en campañas de ransomware figura como “desconocido”. El aviso pide aplicar las mitigaciones según las instrucciones del fabricante, de acuerdo con la directiva BOD 26-04 sobre la prioridad de las actualizaciones en función del riesgo y con los requisitos de triaje forense de la CISA; para los servicios en la nube rigen las indicaciones de la misma directiva y, si no hay mitigaciones disponibles, hay que dejar de usar el producto. También pide evaluar la exposición a Internet de cada sistema.

Ese mismo día el NCSC-NL, el centro nacional de ciberseguridad de los Países Bajos, publicó el aviso NCSC-2026-0423 sobre las vulnerabilidades corregidas en Microsoft Windows, con clasificación M/H (probabilidad media, impacto alto). El texto del aviso neerlandés no estaba disponible al redactar este artículo: no podemos decir si trata la CVE-2026-96951 ni de qué forma, ni cuántas vulnerabilidades enumera.

Las fuentes no dan detalles sobre los ataques observados, sus autores o las víctimas.

Detalles técnicos

• CVE: CVE-2026-96951, publicada el 13 de octubre de 2026. Al redactar este artículo la ficha de NVD está “en análisis”: el NIST aún no ha publicado su propia valoración.
• Producto: Microsoft Windows, componente Windows Shell. Las fuentes disponibles no indican las versiones de Windows afectadas ni las actualizaciones que la corrigen: están en la guía de actualizaciones de seguridad de Microsoft (MSRC), a la que remite la ficha de NVD.
• Mecanismo: según la descripción, la neutralización incorrecta de elementos especiales usados en un comando (command injection) en Windows Shell permite a un atacante no autorizado eludir una función de seguridad a través de la red. Las fuentes no dicen qué función de seguridad se elude.
• Gravedad: CVSS 3.1 8.8 (alta), AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, valoración de Microsoft. El vector indica un ataque por red, de baja complejidad, sin privilegios, pero con interacción del usuario, y un impacto alto en confidencialidad, integridad y disponibilidad. El tipo de interacción necesaria (abrir un archivo, un acceso directo, una página) no se describe.
• Debilidad: CWE-77 (neutralización incorrecta de elementos especiales usados en un comando).
• Indicadores: las fuentes no incluyen indicadores de compromiso públicos.
• MITRE ATT&CK: las fuentes no describen la cadena de ataque. El requisito de interacción del usuario corresponde en general a la técnica T1204 (User Execution); es una clasificación nuestra, no del aviso.

Impacto para las empresas europeas e italianas

Windows Shell está presente en prácticamente todos los puestos de trabajo con Windows, y es en los puestos de trabajo donde la interacción de un usuario es más probable: por eso la superficie potencial es amplia, aunque la explotación requiera una acción de la víctima. Las fuentes no dicen qué sectores o países se han visto afectados, ni si los ataques son dirigidos o a gran escala.

Para las entidades sujetas a NIS2, la vulnerabilidad entra en la gestión de vulnerabilidades prevista por las medidas de seguridad: una CVE explotada, con un plazo de tres días para las agencias estadounidenses, es una buena referencia para fijar la prioridad interna. Un incidente significativo debe notificarse al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. En el sector sanitario, donde los puestos de trabajo acceden a datos de salud y a menudo a sistemas clínicos, la actualización de los puestos debe planificarse sin esperar al ciclo ordinario, teniendo en cuenta los puestos conectados a dispositivos médicos que requieren la validación del fabricante.

Qué hacer ya

1. Consulta la lista oficial: revisa la ficha de la CVE-2026-96951 en la guía de actualizaciones de seguridad de Microsoft para conocer las versiones afectadas y las actualizaciones que debes instalar.
2. Actualiza con prioridad: distribuye las actualizaciones de seguridad de Windows de octubre de 2026, empezando por los puestos de los usuarios y los servidores en los que los usuarios trabajan de forma interactiva (por ejemplo, los servidores de escritorio remoto).
3. Comprueba la instalación: verifica desde tus herramientas de gestión de actualizaciones que los equipos hayan recibido realmente el paquete, incluidos los que están fuera de la oficina o estuvieron apagados los días de la publicación.
4. Si no puedes actualizar enseguida: aplica las mitigaciones indicadas por Microsoft en la ficha de la vulnerabilidad, como pide la CISA.
5. Detecta: a falta de indicadores públicos, revisa en tus herramientas de protección de endpoints los procesos de línea de comandos iniciados de forma inusual por el shell de Windows y las alertas sobre funciones de seguridad del sistema desactivadas o eludidas.
6. Conciencia a los usuarios: la explotación requiere una acción del usuario; recuerda no abrir archivos ni enlaces inesperados, aunque lleguen de contactos conocidos.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por equipo y por paquete y destaca las que ya explotan los atacantes, como las CVE del catálogo KEV, junto con los equipos desconectados con vulnerabilidades críticas; si un puesto es sospechoso, te permite aislarlo de la red. ARX Sentry recoge registros y eventos de ordenadores y servidores, y ARX Horizon enriquece cada evento con información sobre amenazas y vulnerabilidades.

Última actualización: 13 de octubre de 2026