CiberseguridadWindowsMicrosoft 365

CVE-2026-96951: el fallo de Windows que ya se explota y quita los avisos a los ficheros peligrosos

Por Abant SistemasPublicado el 28 de octubre de 2026

CVE-2026-96951 es una vulnerabilidad de Windows que los atacantes ya estaban usando antes de que Microsoft la corrigiera. Permite que un fichero recibido por correo, por un chat como Teams o WhatsApp, o descargado desde un enlace, se abra sin las protecciones que Windows aplica a todo lo que llega de internet: sin el aviso de SmartScreen y, en el caso de documentos de Office, sin la Vista protegida. Microsoft la corrigió en las actualizaciones de seguridad del 13 de octubre de 2026, y la solución es tan simple como asegurarse de que todos los equipos las tienen instaladas.

Este fallo no se activa solo: necesita que alguien abra el fichero. Por eso es la pieza perfecta para un phishing. El correo trampa de siempre, pero sin la ventana de aviso que haría dudar al empleado.

Qué es la «marca de la web» y por qué importa

Cuando un fichero llega a un equipo desde internet, Windows le pone una etiqueta invisible que indica su origen. Microsoft la llama Mark of the Web (marca de la web). Esa etiqueta es la que activa varias defensas a la vez:

SmartScreen avisa antes de ejecutar un programa descargado que no reconoce.
Word, Excel y PowerPoint abren el documento en Vista protegida, de solo lectura y sin contenido activo, hasta que el usuario pulsa «Habilitar edición».
Las macros de Office en documentos de internet se bloquean por defecto.

CVE-2026-96951 hace que un fichero preparado a propósito pierda esa etiqueta. Para Windows pasa a ser un fichero creado en el propio equipo, y ninguna de esas defensas se dispara. Una empresa de seguridad lo resumía diciendo que un solo fallo apaga varios controles de golpe.

Qué se sabe del fallo

Es un fallo de Windows Shell, la parte de Windows que gestiona el escritorio, el Explorador de archivos y la apertura de ficheros. Microsoft lo clasifica como una inyección de comandos que permite saltarse una función de seguridad.
Tiene una puntuación de 8,8 sobre 10 (CVSS 3.1). Microsoft lo califica de «importante» y no de «crítico» porque exige que el usuario abra el fichero, pero lo marcó como explotado activamente desde el primer día.
La agencia de ciberseguridad de Estados Unidos (CISA) lo incluyó el 13 de octubre en su catálogo de vulnerabilidades explotadas, con solo tres días de plazo para que sus organismos lo corrigieran.
Afecta a las versiones de Windows con soporte, tanto de escritorio como de servidor. Windows Server 2012 R2 recibe la corrección; Windows Server 2012 (sin R2), no.
Es el tercer fallo de Windows Shell explotado en lo que va de 2026. Microsoft no ha dicho quién lo usaba ni contra quién.

Según Rapid7, los fallos anteriores de este tipo solían aprovechar accesos directos y ficheros comprimidos. Este afectaba también a Outlook.com, que Microsoft corrigió en sus propios servidores semanas antes del parche de Windows.

No es el único fallo grave de este mes

El paquete de octubre de 2026 es el más grande que ha publicado Microsoft: más de 1.400 vulnerabilidades corregidas, 78 de ellas críticas según el INCIBE. Para una pyme, además del fallo de Windows Shell, destacan estos:

Cinco fallos en Outlook que permiten ejecutar código con solo previsualizar un correo en el panel de lectura, sin abrirlo ni pulsar nada. El más grave, CVE-2026-70242, tiene una puntuación de 9,8. Microsoft 365 los corrige solo; las versiones de Office instaladas con licencia perpetua o por MSI hay que actualizarlas.
Un fallo en Active Directory (CVE-2026-70229) que permite ejecutar código en un controlador de dominio sin credenciales. Afecta a las empresas con servidor Windows propio.
Dos fallos de Exchange Server con explotación «más probable», relevantes para quien aún tenga el correo en un servidor propio en lugar de en Microsoft 365.

Cómo comprobar que sus equipos están protegidos

La corrección viene dentro de la actualización acumulativa de Windows de octubre de 2026, publicada el 13 de octubre. No hay que instalar nada aparte. Lo que hay que confirmar es que se ha instalado y que el equipo se ha reiniciado.

En un equipo concreto

Abra Configuración y vaya a Windows Update.
Pulse «Historial de actualizaciones» y, dentro de «Actualizaciones de calidad», busque una actualización acumulativa con fecha de octubre de 2026 o posterior, marcada como instalada correctamente.
Si en la pantalla principal de Windows Update aparece «Reinicio necesario», el equipo todavía no está protegido. Reinicie.

En toda la empresa

Si los equipos están gestionados con Intune, con Windows Update for Business o con una herramienta de monitorización remota, el informe de cumplimiento de actualizaciones le dice cuáles van atrasados. Los que suelen quedarse atrás son siempre los mismos: el portátil que no se reinicia nunca, el equipo de alguien que está de vacaciones y el ordenador de recepción que nadie toca. Si no tiene ninguna gestión centralizada, la única forma de saberlo es revisar equipo por equipo, y eso es en sí mismo una señal de que conviene cambiar de modelo.

Office y Outlook

En Microsoft 365 las aplicaciones de Office se actualizan solas. Para comprobarlo, en Word o en Outlook entre en Archivo, Cuenta y Opciones de actualización, y pulse «Actualizar ahora». Si la empresa usa Office 2016, 2019 o 2021 con licencia perpetua, revise que Windows Update está configurado para actualizar también otros productos de Microsoft.

Equipos que ya no reciben el parche

Este fallo es un buen recordatorio de que un equipo sin soporte no se arregla esperando. Revise si tiene alguno de estos:

Windows 10 sin el programa de actualizaciones extendidas (ESU). El soporte normal terminó en octubre de 2025; sin ESU, ese equipo no ha recibido la corrección y no la recibirá.
Windows Server 2012 y 2012 R2. Su último año de actualizaciones extendidas terminó el 14 de octubre de 2026. Server 2012 sin R2 ni siquiera recibe la corrección de este fallo.
Exchange Server 2016 y 2019, cuyas actualizaciones extendidas también terminaron en octubre de 2026.
Office 2021 con licencia perpetua, que deja de recibir actualizaciones de seguridad este mes y para el que Microsoft no ha anunciado actualizaciones extendidas.

Si tiene equipos así, la opción realista es migrarlos o aislarlos. Si se trata de puestos con Windows 10, en nuestro artículo sobre la migración a Windows 11 explicamos cómo plantearla sin parar la oficina.

Qué más puede hacer además de parchear

Recuerde al equipo que el aviso de seguridad no es la única defensa. Si un correo inesperado trae un adjunto comprimido, un acceso directo o un documento que pide «habilitar contenido», lo prudente es preguntar antes de abrirlo.
En Microsoft 365 Business Premium o con Defender for Office 365, active los adjuntos seguros (Safe Attachments): los ficheros se analizan en un entorno aislado antes de llegar al buzón.
Bloquee las macros de Office de origen externo por directiva. Si nadie en la empresa las necesita, mejor desactivarlas del todo.
Configure Windows Update para que los equipos no puedan aplazar las actualizaciones de seguridad indefinidamente, con un plazo máximo de reinicio de pocos días.

Conclusión práctica

CVE-2026-96951 no necesita un ataque sofisticado: necesita un correo convincente y un equipo sin el parche de octubre. La protección está publicada desde el 13 de octubre, así que el riesgo real está en los equipos que no se han actualizado o reiniciado, y en los que ya no tienen soporte.

Saber en cualquier momento qué equipos de la empresa tienen las actualizaciones al día debería ser una consulta de un minuto, no una tarde revisando ordenadores. Si hoy no es así, podemos ayudarle a ponerlo en marcha.

Fuentes

Información actualizada a 28 de octubre de 2026.