Microsoft Patch Tuesday: Fallos Críticos de Suplantación y Ejecución Remota de Código

-

Microsoft publicó parches para 42 vulnerabilidades, incluyendo fallos de severidad crítica en la Plataforma MSHTML y el Conector de la Plataforma Microsoft Power. Estos fallos permitirían a actores de amenazas ejecutar código remoto o suplantar identidades mediante enlaces o correos electrónicos maliciosos.

Un administrador de sistemas aplicando parches de seguridad en una red corporativa.

Microsoft lanzó una serie de actualizaciones de seguridad que corrigen al menos 42 vulnerabilidades (contando por CVE) en su ecosistema de productos. Entre las fallas más graves se encuentran problemas de ejecución remota de código en la Plataforma MSHTML de Windows y el Conector de la Plataforma Microsoft Power, además de fallos en los componentes de Compartir Conexión a Internet (ICS).

Vulnerabilidades de ejecución remota y suplantación

El Conector de la Plataforma Microsoft Power presenta una vulnerabilidad de suplantación identificada como CVE-2023-36019, con una puntuación CVSS de 9.6/10. Este fallo permite que un atacante utilice URLs manipuladas para disfrazar archivos o enlaces maliciosos como legítimos. Aunque el problema reside en el servidor web, los scripts maliciosos se ejecutan en el navegador de la víctima.

Por otro lado, la Plataforma MSHTML de Windows incluye el fallo CVE-2023-35628. En este caso, un atacante podría enviar un correo electrónico diseñado específicamente para que se active automáticamente al ser procesado por el cliente Outlook. Según Microsoft, "esto podría dar como resultado que el atacante ejecute código remoto en la máquina de la víctima", incluso sin que el usuario abra o haga clic en el contenido.

Otros parches y contexto de seguridad

El boletín de parches también incluye correcciones para fallos de seguridad en Chromium que afectan al navegador Microsoft Edge, un problema de ejecución especulativa AMD y fallos críticos en Compartir Conexión a Internet (ICS). Adicionalmente, se corrigieron vulnerabilidades en Microsoft Office, Azure, Windows Defender y en los servidores DNS y DHCP de Windows. Según datos de ZDI, Microsoft ha parcheado más de 900 CVE en lo que va del año.

Por qué importa y qué hacer

La gravedad de estos fallos radica en la facilidad con la que un atacante puede comprometer una máquina sin interacción directa del usuario, especialmente en el caso de MSHTML y Outlook. Las organizaciones que gestionan flotas de Windows deben priorizar estos parches para evitar la ejecución de código remoto y el robo de credenciales mediante suplantación de identidad.

  • Instalar las actualizaciones de seguridad de Microsoft para corregir CVE-2023-36019 y CVE-2023-35628.
  • Actualizar el navegador Microsoft Edge para aplicar los parches de Chromium.
  • Aplicar los parches correspondientes a los componentes de Compartir Conexión a Internet (ICS).
  • Actualizar los servicios de DNS y DHCP de Windows.
  • Actualizar las aplicaciones de Microsoft Office y Windows Defender.

Relacionado:
Microsoft rompe récords con 1.415 CVE en las actualizaciones de octubre de 2026
Vulnerabilidad en Microsoft SharePoint CVE-2026-65660 explotada en ataques
Chaotic Eclipse lanza BigDiskBuster, una PoC para un zero-day en Windows Defender

Fuente:
https://www.securityweek.com/microsoft-patch-tuesday-critical-spoofing-and-remote-code-execution-flaws/

Nota elaborada por Ciberseguridad en español a partir de información publicada por Security Week. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.

Comentarios

Publicar un comentario

Entradas más populares de este blog

ANCI investiga presunta filtración masiva de datos que afectaría a la Tesorería General de la República, al Registro Civil y a la ClaveÚnica

-
Santiago, 2 de mayo de 2026. — La Agencia Nacional de Ciberseguridad (ANCI) confirmó que se encuentra analizando reportes de una presunta actividad maliciosa que comprometería sistemas de organismos del Estado y operadores de telecomunicaciones en Chile, luego de que la firma de inteligencia cibernética VECERT Analyzer alertara públicamente sobre una brecha de alto impacto dirigida contra la Tesorería General de la República (TGR), el Registro Civil y servicios asociados a la ClaveÚnica. El actor de amenaza identificado bajo el alias "rutify" habría difundido en grupos especializados de Telegram registros que sugieren la filtración de datos sensibles durante las últimas 48 horas, según la alerta original publicada por VECERT en su cuenta oficial de X. Qué denuncia el reporte de VECERT De acuerdo con el análisis técnico difundido por la firma, las muestras filtradas corresponderían a solicitud...
Leer más

Atacantes calientan refrigeradores de supermercados franceses hasta 50°C

-
Imagen
Un ciberataque contra controladores de refrigeración de la empresa Danfoss afectó a cientos de supermercados en Francia, elevando la temperatura de los equipos hasta los 50°C. El incidente provocó la pérdida masiva de alimentos y activó alertas de seguridad por el uso de dispositivos con firmware desactualizado expuestos a internet. Durante la noche del 11 de octubre, actores de amenazas tomaron el control de sistemas de refrigeración en cientos de supermercados franceses. El ataque afectó específicamente a controladores de la empresa Danfoss, los cuales fueron manipulados para activar el modo de descongelación y elevar la temperatura de los productos hasta los 50°C. La cadena Intermarché, por ejemplo, reportó la pérdida de inventarios debido a este incidente. Dispositivos afectados y vulnerabilidades El ataque impactó a dos series de controladores antiguos: el AK-SM 800 y el AK-SC 355. Danfoss confirmó que el AK-SM 800 finalizó su vida útil en mayo de 2021 y el AK-SC 355 fue reti...
Leer más

La ley que protege tus datos en Chile se corre a octubre de 2027

-
Imagen
El aplazamiento de la Ley 21.719 dejó de ser una intención del Gobierno. Este miércoles 28 de octubre de 2026 la Sala del Senado aprobó, por 33 votos a favor y 6 en contra, el proyecto que corre la entrada en vigencia de la Ley de Protección de Datos Personales. Pero con un cambio relevante respecto de lo que había pedido el Ejecutivo: la nueva fecha no es el 1 de diciembre de 2027, sino el 15 de octubre de 2027 . La iniciativa pasó a segundo trámite constitucional en la Cámara de Diputados. Hasta que ese trámite termine y el texto se publique en el Diario Oficial, la fecha legalmente vigente sigue siendo el 1 de diciembre de 2026, y el Congreso tiene poco más de un mes para cerrar el proceso. Qué aprobó el Senado La Sala respaldó el texto despachado por las comisiones de Constitución y de Hacienda, esta última sin introducir modificaciones. El núcleo del acuerdo es la nueva fecha de entrada en vigencia: 15 de octubre de 2027, en lugar del 1 de diciembre de 2027 que proponía el ...
Leer más