Microsoft corrige CVE-2026-96951 en Windows Shell

Microsoft corrigió CVE-2026-96951 en la actualización de seguridad de octubre de 2026. La falla afecta a Windows Shell, permite evadir las protecciones Mark of the Web (MOTW) y fue incluida entre las vulnerabilidades explotadas activamente como zero-day. Tenable la clasificó como un bypass de función de seguridad con puntuación CVSS de 8.8.

¿Qué hace CVE-2026-96951?

CVE-2026-96951 permite eludir las defensas Mark of the Web en Windows Shell, lo que afecta el comportamiento de controles posteriores que dependen de esa etiqueta de zona. CrowdStrike señaló que ese bypass puede dejar sin efecto protecciones como SmartScreen, Protected View de Office y Application Guard, aunque esa parte del análisis está atribuida a la firma y no a una confirmación oficial separada.

La vulnerabilidad fue tratada por Microsoft como una zero-day explotada en la práctica. BleepingComputer la incluyó entre las fallas corregidas en el Patch Tuesday de octubre de 2026 y reportó que estaba siendo explotada activamente. Tenable, por su parte, indicó que la compañía la corrigió como parte de una tanda de 1.407 CVE.

¿Cómo se explota según los análisis publicados?

Según ITBrief Asia, la explotación exitosa puede requerir que la víctima abra un archivo malicioso especialmente diseñado o visite un sitio controlado por el atacante. CrowdStrike añadió que el ataque requiere una acción explícita del usuario y que no se produce mediante el panel de vista previa.

CybersecurityNews afirmó que Microsoft clasificó CVE-2026-96951 como una vulnerabilidad importante con evaluación de explotación detectada, lo que implicaría ataques confirmados y no solo una posibilidad teórica. Esa atribución figura en cobertura secundaria y no en un aviso oficial citado directamente en el material disponible.

¿Qué otros datos aportó la cobertura técnica?

WindowsForum.com publicó una cobertura secundaria que atribuye a CISA la incorporación de CVE-2026-96951 al catálogo KEV y la publicación de compilaciones corregidas para varias ramas de Windows. Sin embargo, el resultado disponible no enlaza directamente al registro oficial de CISA ni al aviso de Microsoft, así que ese punto queda como referencia no verificada de manera primaria.

CyberDaily agregó que Windows Server 2012 no recibió un parche para esta vulnerabilidad, mientras que Windows Server 2012 R2 sí aparece contemplado. La misma cobertura sostuvo que Outlook.com ya había sido corregido en una compilación anterior.

La actualización de octubre de 2026 dejó a CVE-2026-96951 entre las fallas más seguidas del mes por su condición de zero-day y por el alcance del bypass sobre MOTW. La combinación de explotación activa, impacto sobre Windows Shell y una puntuación CVSS de 8.8 concentró la atención de varias firmas de análisis.