Microsoft lanzó su primera actualización de seguridad para 2026 el martes, solucionando 114 vulnerabilidades, incluida una vulnerabilidad que, según se informa, estaba siendo explotada activamente.
De los 114 defectos, ocho están clasificados como “Críticos” y 106 como “Importantes”. Hasta 58 vulnerabilidades se clasificaron como escalada de privilegios, seguidas de 22 vulnerabilidades de divulgación de información, 21 de ejecución remota de código y cinco vulnerabilidades de suplantación de identidad. Según Fortra, la actualización marca el tercer martes de parches de enero con mayor actividad después de enero de 2025 y enero de 2022.
Estos parches se suman a dos vulnerabilidades que Microsoft ha solucionado en su navegador Edge desde que se lanzó la actualización del martes de parches de diciembre de 2025, incluida una vulnerabilidad de suplantación de identidad en su aplicación de Android (CVE-2025-65046, 3.1) y un caso de aplicación insuficiente de políticas en la etiqueta WebView de Chromium (CVE-2026-0628, puntuación CVSS: 8.8).
La vulnerabilidad que se está explotando actualmente es CVE-2026-20805 (puntuación CVSS: 5,5), una falla de divulgación de información que afecta a Desktop Window Manager. Al Centro de inteligencia de amenazas de Microsoft (MTIC) y al Centro de respuesta de seguridad de Microsoft (MSRC) se les atribuye la identificación y notificación del error.
“Exponer información confidencial a un actor no autorizado en Desktop Windows Manager (DWM) permite a un atacante autorizado exponer información localmente”, dijo Microsoft en un aviso. “El tipo de información que podría quedar expuesta si un atacante explotara con éxito esta vulnerabilidad es una dirección de sección de un puerto ALPC remoto, que es la memoria en modo de usuario”.
Actualmente no hay detalles sobre cómo se está explotando la vulnerabilidad, la escala del esfuerzo y quién puede estar detrás de la actividad.
“DWM es responsable de poner todo en la pantalla de un sistema Windows, lo que significa que ofrece una combinación tentadora de acceso privilegiado y disponibilidad universal, ya que casi cualquier proceso puede necesitar mostrar algo”, dijo Adam Barnett, ingeniero de software senior de Rapid7, en un comunicado. “En este caso, la explotación da como resultado la divulgación inadecuada de la dirección de una sección del puerto ALPC, una sección de la memoria en modo de usuario donde los componentes de Windows coordinan varias acciones entre sí”.
Microsoft solucionó previamente una vulnerabilidad de día cero explotada activamente en DWM en mayo de 2024 (CVE-2024-30051, puntuación CVSS: 7,8), que se describió como una vulnerabilidad de escalada de privilegios que fue explotada por múltiples actores de amenazas en relación con la propagación de QakBot y otras familias de malware. Satnam Narang, ingeniero de investigación senior de Tenable, calificó a DWM como un “viajero frecuente” el martes de parches, ya que se han parcheado 20 CVE en la biblioteca desde 2022.
Jack Bicer, jefe de investigación de vulnerabilidades en Action1, dijo que la vulnerabilidad podría ser explotada por un atacante autenticado localmente para filtrar información, evitar la aleatorización del diseño del espacio de direcciones (ASLR) y otras medidas defensivas.
“Las vulnerabilidades de este tipo se utilizan a menudo para socavar la aleatorización del diseño del espacio de direcciones (ASLR), un control de seguridad central del sistema operativo diseñado para proteger contra desbordamientos de búfer y otras vulnerabilidades de manipulación de la memoria”, dijo a The Hacker News Kev Breen, director senior de investigación de amenazas cibernéticas en Immersive.
“Al exponer dónde se encuentra el código en la memoria, esta vulnerabilidad puede vincularse a una falla de ejecución de código separada, convirtiendo un exploit complejo y poco confiable en un ataque práctico y repetible”.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó la falla a su catálogo de vulnerabilidades explotadas conocidas (KEV) y exigió a las autoridades del Poder Ejecutivo Civil Federal (FCEB) que aplicaran las últimas correcciones antes del 3 de febrero de 2026.
Otra vulnerabilidad que vale la pena señalar implica una omisión de una característica de seguridad que afecta la caducidad del certificado de arranque seguro (CVE-2026-21265, puntuación CVSS: 6,4), lo que podría permitir a un atacante socavar un mecanismo de seguridad clave que garantiza que los módulos de firmware provengan de una fuente confiable y evita que se ejecute malware durante el proceso de arranque.
En noviembre de 2025, Microsoft anunció que tres certificados de arranque seguro de Windows emitidos en 2011 expirarían a partir de junio de 2026 e instó a los clientes a actualizar a sus homólogos de 2023.
- Microsoft Corporation KEK CA 2011 (junio de 2026) – Microsoft Corporation KEK 2K CA 2023 (para firmar actualizaciones para DB y DBX)
- Microsoft Windows Production PCA 2011 (octubre de 2026) – Windows UEFI CA 2023 (para firmar el gestor de arranque de Windows)
- Microsoft UEFI CA 2011 (junio de 2026): Microsoft UEFI CA 2023 (para firmar cargadores de arranque de terceros) y Microsoft Option ROM UEFI CA 2023 (para firmar ROM de opciones de terceros)
“Los certificados de arranque seguro utilizados por la mayoría de los dispositivos Windows caducan a partir de junio de 2026. Esto podría afectar la capacidad de ciertos dispositivos personales y laborales para arrancar de forma segura si no se actualizan de manera oportuna”, dijo Microsoft. “Para evitar interrupciones, recomendamos leer la guía y tomar medidas para actualizar los certificados con anticipación”.
El fabricante de Windows también señaló que la última actualización elimina los controladores Agere Soft Modem “agrsm64.sys” y “agrsm.sys” que se envían de forma nativa con el sistema operativo. Los controladores de terceros son vulnerables a una falla de escalada de privilegios locales de dos años de antigüedad (CVE-2023-31096, puntuación CVSS: 7,8), que podría permitir a un atacante obtener privilegios del SISTEMA.
En octubre de 2025, Microsoft tomó medidas para eliminar otro controlador de módem Agere llamado “ltmdm64.sys” después de explotar una vulnerabilidad de escalada de privilegios (CVE-2025-24990, puntuación CVSS: 7,8) que podría permitir a un atacante obtener privilegios administrativos.
También ocupa un lugar destacado en la lista de prioridades CVE-2026-20876 (puntuación CVSS: 6,7), una falla crítica de escalada de privilegios en el enclave de seguridad basada en virtualización (VBS) de Windows que permite a un atacante obtener y explotar privilegios de nivel de confianza virtual 2 (VTL2) para subvertir los controles de seguridad, desarrollar una persistencia profunda y evadir la detección.
“Rompe la barrera de seguridad que el propio Windows está diseñado para proteger, brindando a los atacantes acceso a una de las capas de ejecución más confiables del sistema”, dijo Mike Walters, presidente y cofundador de Action1.
“Aunque la explotación requiere altos privilegios, el impacto es severo ya que compromete la propia seguridad basada en la virtualización. Los atacantes que ya se han afianzado podrían explotar esta vulnerabilidad para eludir las defensas avanzadas, haciendo que la aplicación inmediata de parches sea esencial para mantener la confianza en los límites de seguridad de Windows”.
Parches de software de otros proveedores
Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad desde principios de mes para abordar varias vulnerabilidades, entre ellas:
- HIGO
- Adobe
- Servicios web de Amazon
- AMD
- brazo
- ASUS
- Broadcom (incluido VMware)
- cisco
- ConectarWise
- Sistemas Dassault
- Enlace D
- Dell
- Descentralizaciones
- drupal
- Elástico
- Q5
- Fortinet
- Fortra
- software foxit
- FUJIFILM
- Gigabytes
- GitLab
- Google Android y Píxel
- Google Chrome
- Nube de Google
- Grafana
- Hikvisión
- PD
- HP Enterprise (incluidos Aruba Networking y Juniper Networks)
- IBM
- Tecnologías de la imaginación
- lenovo
- Distribuciones de Linux AlmaLinux, Alpine Linux, Amazon Linux, Arch Linux, Debian, Gentoo, Oracle Linux, Mageia, Red Hat, Rocky Linux, SUSE y Ubuntu
- MediaTek
- medio
- Mitsubishi Electrico
- MongoDB
- moxa
- Mozilla Firefox y Firefox ESR
- n8n
- NETGEAR
- Nodo.js
- Nvidia
- propia nube
- QNAP
- Qualcomm
- Ricoh
- Samsung
- JUGO
- Electricidad Schneider
- Servicio ahora
- siemens
- Vientos solares
- SonicWall
- Sofos
- Marco de resorte
- Sinología
- Enlace TP
- Tendencia Micro y
- Veeam
About The Author
