Microsoft corregeix una fallada de Windows ja explotada i deixa sense pedaços Windows 11 24H2 Home i Pro

Què ha passat

El 13 d'octubre de 2026, Microsoft va publicar la seva actualització mensual de seguretat. Entre les fallades corregides hi ha CVE-2026-96951, una vulnerabilitat de Windows Shell, el component que gestiona l'escriptori i l'obertura de fitxers. Microsoft la marca com a explotada: els atacants ja la feien servir abans que existís el pedaç.

Segons la fitxa de Microsoft, un atacant que aprofiti la fallada pot «eludir les defenses de la marca del web (MOTW)». És l'etiqueta que Windows posa als fitxers que arriben d'internet i que activa els avisos de seguretat abans d'obrir-los. L'escenari que descriu: l'atacant envia per correu o missatgeria un fitxer preparat, i la víctima l'ha d'obrir o ha de prémer un enllaç.

Aquell mateix dia, l'agència de ciberseguretat dels Estats Units (CISA) va afegir la fallada al seu catàleg de vulnerabilitats explotades activament.

Què sabem

• Gravetat: Microsoft li assigna una puntuació CVSS de 8,8 sobre 10 i la classifica com a «important». No requereix credencials, però sí que l'usuari obri el fitxer.
• Sistemes afectats (segons Microsoft): Windows 10, Windows 11 (versions 23H2, 24H2, 25H2, 26H1 i 26H2) i Windows Server 2016, 2019, 2022 i 2025. A Windows 10 22H2 i Windows Server 2012 R2, la correcció només arriba als equips inscrits en el programa d'actualitzacions esteses (ESU).
• Correcció: l'actualització acumulativa del 13 d'octubre de 2026. A Windows 11 24H2, 25H2 i 26H2 és la KB5127648.
• Fi del suport: Microsoft indica en aquesta mateixa actualització que «Windows 11, versió 24H2 Home i Pro ha arribat al final de les actualitzacions» i que la d'octubre de 2026 és l'última per a aquestes edicions. La versió 25H2 rebrà pedaços fins al 12 d'octubre de 2027, i la 26H2, fins al 10 d'octubre de 2028.
• Windows 10 22H2 va deixar de tenir suport el 14 d'octubre de 2025. Des de llavors només reben pedaços els equips amb ESU, un programa de pagament.

Què no sabem encara

• Qui està explotant la fallada, contra qui i des de quan. Microsoft no ho ha publicat. Segons BleepingComputer, tampoc no ha dit qui la va descobrir.
• Si hi ha víctimes a Espanya. No n'hi ha cap de confirmada.

Per què importa

Els avisos que Windows mostra en obrir un fitxer baixat són una de les últimes barreres contra el phishing amb adjunts. Una fallada que els elimina fa que un fitxer maliciós sembli tan innocu com un d'intern.

El segon avís passa més desapercebut, però pot durar més. Windows 11 24H2 està disponible des d'octubre de 2024, així que pot ser en bona part dels ordinadors de l'oficina. Si no s'actualitzen a una versió més recent, a partir de novembre es quedaran sense correcció per a les fallades que vagin apareixent.

Què significa per a una pime

En una empresa de 20 persones, el correu és la porta d'entrada més habitual: factures, pressupostos, avisos de missatgeria. Amb aquesta fallada, un adjunt que sembla rutinari s'obre sense cap avís.

A més, Pro és l'edició que solen portar els ordinadors d'empresa, i en moltes pimes ningú no sap amb certesa quina versió té cadascun. Un portàtil que fa mesos que «funciona bé» pot estar a punt de quedar-se sense pedaços.

Què hauria de fer la teva empresa aquesta setmana

1. Comprova que tots els equips han instal·lat l'actualització del 13 d'octubre, inclosos portàtils i servidors.
2. Fes inventari de versions. Demana al teu proveïdor d'informàtica una llista dels equips amb Windows 11 24H2 Home o Pro i planifica'n el pas a 25H2 o 26H2 abans de l'actualització de novembre.
3. Localitza els Windows 10 que quedin. Si no estan inscrits a ESU, ja no reben pedaços: inscriu-los o substitueix-los.
4. Recorda a l'equip que no obri adjunts inesperats, encara que Windows no mostri cap avís. Si un correu amb una factura o un document no s'esperava, es confirma per telèfon abans d'obrir-lo. Més pistes a la nostra guia sobre phishing (en castellà).
5. Deixa per escrit qui s'encarrega de les actualitzacions i com es comprova que s'han instal·lat. És just el que cobreix un pla de manteniment.