Microsoft corrige un fallo de Windows ya explotado y deja sin parches a Windows 11 24H2 Home y Pro

Qué ha pasado

El 13 de octubre de 2026, Microsoft publicó su actualización mensual de seguridad. Entre los fallos corregidos está CVE-2026-96951, una vulnerabilidad de Windows Shell, el componente que gestiona el escritorio y la apertura de archivos. Microsoft la marca como explotada: los atacantes ya la estaban usando antes de que existiera el parche.

Según la ficha de Microsoft, un atacante que aproveche el fallo puede «eludir las defensas de la marca de la web (MOTW)». Es la etiqueta que Windows pone a los archivos que llegan de internet y que activa los avisos de seguridad antes de abrirlos. El escenario que describe: el atacante envía por correo o mensajería un archivo preparado, y la víctima tiene que abrirlo o pulsar un enlace.

Ese mismo día, la agencia de ciberseguridad de Estados Unidos (CISA) añadió el fallo a su catálogo de vulnerabilidades explotadas activamente.

Qué sabemos

• Gravedad: Microsoft le asigna una puntuación CVSS de 8,8 sobre 10 y lo clasifica como «importante». No requiere credenciales, pero sí que el usuario abra el archivo.
• Sistemas afectados (según Microsoft): Windows 10, Windows 11 (versiones 23H2, 24H2, 25H2, 26H1 y 26H2) y Windows Server 2016, 2019, 2022 y 2025. En Windows 10 22H2 y Windows Server 2012 R2, la corrección solo llega a los equipos inscritos en el programa de actualizaciones extendidas (ESU).
• Corrección: la actualización acumulativa del 13 de octubre de 2026. En Windows 11 24H2, 25H2 y 26H2 es la KB5127648.
• Fin de soporte: Microsoft indica en esa misma actualización que «Windows 11, versión 24H2 Home y Pro ha llegado al final de las actualizaciones» y que la de octubre de 2026 es la última para esas ediciones. La versión 25H2 recibirá parches hasta el 12 de octubre de 2027, y la 26H2, hasta el 10 de octubre de 2028.
• Windows 10 22H2 dejó de tener soporte el 14 de octubre de 2025. Desde entonces solo reciben parches los equipos con ESU, un programa de pago.

Qué no sabemos todavía

• Quién está explotando el fallo, contra quién y desde cuándo. Microsoft no lo ha publicado. Según BleepingComputer, tampoco ha dicho quién lo descubrió.
• Si hay víctimas en España. No hay ninguna confirmada.

Por qué importa

Los avisos que Windows muestra al abrir un archivo descargado son una de las últimas barreras contra el phishing con adjuntos. Un fallo que los elimina hace que un archivo malicioso parezca tan inofensivo como uno interno.

El segundo aviso pasa más desapercibido, pero puede durar más. Windows 11 24H2 está disponible desde octubre de 2024, así que puede estar en buena parte de los ordenadores de la oficina. Si no se actualizan a una versión más reciente, a partir de noviembre quedarán sin corrección para los fallos que vayan apareciendo.

Qué significa para una pyme

En una empresa de 20 personas, el correo es la puerta de entrada más habitual: facturas, presupuestos, avisos de mensajería. Con este fallo, un adjunto que parece rutinario se abre sin ningún aviso.

Además, Pro es la edición que suelen llevar los ordenadores de empresa, y en muchas pymes nadie sabe con certeza qué versión tiene cada uno. Un portátil que lleva meses «funcionando bien» puede estar a punto de quedarse sin parches.

Qué debería hacer tu empresa esta semana

1. Comprueba que todos los equipos han instalado la actualización del 13 de octubre, incluidos portátiles y servidores.
2. Haz inventario de versiones. Pide a tu proveedor de informática una lista de los equipos con Windows 11 24H2 Home o Pro y planifica su paso a 25H2 o 26H2 antes de la actualización de noviembre.
3. Localiza los Windows 10 que queden. Si no están inscritos en ESU, ya no reciben parches: inscríbelos o sustitúyelos.
4. Recuerda al equipo que no abra adjuntos inesperados, aunque Windows no muestre ningún aviso. Si un correo con factura o documento no se esperaba, se confirma por teléfono antes de abrirlo. Más pistas en nuestra guía sobre phishing.
5. Deja por escrito quién se encarga de las actualizaciones y cómo se comprueba que se han instalado. Es justo lo que cubre un plan de mantenimiento.