Microsoft corrixe un fallo de Windows xa explotado e deixa sen parches Windows 11 24H2 Home e Pro

Que pasou

O 13 de outubro de 2026, Microsoft publicou a súa actualización mensual de seguridade. Entre os fallos corrixidos está CVE-2026-96951, unha vulnerabilidade de Windows Shell, o compoñente que xestiona o escritorio e a apertura de ficheiros. Microsoft márcaa como explotada: os atacantes xa a estaban a usar antes de que existise o parche.

Segundo a ficha de Microsoft, un atacante que aproveite o fallo pode «eludir as defensas da marca da web (MOTW)». É a etiqueta que Windows pon aos ficheiros que chegan de internet e que activa os avisos de seguridade antes de abrilos. O escenario que describe: o atacante envía por correo ou mensaxería un ficheiro preparado, e a vítima ten que abrilo ou premer nunha ligazón.

Ese mesmo día, a axencia de ciberseguridade dos Estados Unidos (CISA) engadiu o fallo ao seu catálogo de vulnerabilidades explotadas activamente.

Que sabemos

• Gravidade: Microsoft asígnalle unha puntuación CVSS de 8,8 sobre 10 e clasifícao como «importante». Non require credenciais, pero si que o usuario abra o ficheiro.
• Sistemas afectados (segundo Microsoft): Windows 10, Windows 11 (versións 23H2, 24H2, 25H2, 26H1 e 26H2) e Windows Server 2016, 2019, 2022 e 2025. En Windows 10 22H2 e Windows Server 2012 R2, a corrección só chega aos equipos inscritos no programa de actualizacións estendidas (ESU).
• Corrección: a actualización acumulativa do 13 de outubro de 2026. En Windows 11 24H2, 25H2 e 26H2 é a KB5127648.
• Fin do soporte: Microsoft indica nesa mesma actualización que «Windows 11, versión 24H2 Home e Pro chegou ao final das actualizacións» e que a de outubro de 2026 é a última para esas edicións. A versión 25H2 recibirá parches ata o 12 de outubro de 2027, e a 26H2, ata o 10 de outubro de 2028.
• Windows 10 22H2 deixou de ter soporte o 14 de outubro de 2025. Desde entón só reciben parches os equipos con ESU, un programa de pagamento.

Que non sabemos aínda

• Quen está a explotar o fallo, contra quen e desde cando. Microsoft non o publicou. Segundo BleepingComputer, tampouco dixo quen o descubriu.
• Se hai vítimas en España. Non hai ningunha confirmada.

Por que importa

Os avisos que Windows mostra ao abrir un ficheiro descargado son unha das últimas barreiras contra o phishing con anexos. Un fallo que os elimina fai que un ficheiro malicioso pareza tan inofensivo coma un interno.

O segundo aviso pasa máis desapercibido, pero pode durar máis. Windows 11 24H2 está dispoñible desde outubro de 2024, así que pode estar en boa parte dos ordenadores da oficina. Se non se actualizan a unha versión máis recente, a partir de novembro quedarán sen corrección para os fallos que vaian aparecendo.

Que significa para unha peme

Nunha empresa de 20 persoas, o correo é a porta de entrada máis habitual: facturas, orzamentos, avisos de mensaxería. Con este fallo, un anexo que parece rutineiro ábrese sen ningún aviso.

Ademais, Pro é a edición que adoitan levar os ordenadores de empresa, e en moitas pemes ninguén sabe con certeza que versión ten cada un. Un portátil que leva meses «funcionando ben» pode estar a piques de quedar sen parches.

Que debería facer a túa empresa esta semana

1. Comproba que todos os equipos instalaron a actualización do 13 de outubro, incluídos portátiles e servidores.
2. Fai inventario de versións. Pídelle ao teu provedor de informática unha lista dos equipos con Windows 11 24H2 Home ou Pro e planifica o seu paso a 25H2 ou 26H2 antes da actualización de novembro.
3. Localiza os Windows 10 que queden. Se non están inscritos en ESU, xa non reciben parches: inscríbeos ou substitúeos.
4. Lémbralle ao equipo que non abra anexos inesperados, aínda que Windows non mostre ningún aviso. Se un correo cunha factura ou un documento non se agardaba, confírmase por teléfono antes de abrilo. Máis pistas na nosa guía sobre phishing (en castelán).
5. Deixa por escrito quen se encarga das actualizacións e como se comproba que se instalaron. É xusto o que cobre un plan de mantemento.