Descripción
Un desbordamiento de búfer en el heap en Microsoft QUIC permite a un atacante no autorizado ejecutar código a través de la red.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- .NET 10.0 runtime Afectadas: 10.0.0 y anteriores a 10.0.14
- .NET 11.0 runtime Afectadas: 11.0.0 y anteriores a 11.0.0-rc.2.26504.105
- .NET 8.0 runtime Afectadas: 8.0.0 y anteriores a 8.0.32
- .NET 9.0 runtime Afectadas: 9.0.0 y anteriores a 9.0.21
- Microsoft Visual Studio 2022 version 17.14 Afectadas: 17.14.0 y anteriores a 17.14.42
- Microsoft Visual Studio 2026 version 18.10 Afectadas: 18.10.0 y anteriores a 18.10.4
- Windows 11 version 23H2 Afectadas: 10.0.22631.0 y anteriores a 10.0.22631.7652
- Windows 11 Version 23H2 Afectadas: 10.0.22631.0 y anteriores a 10.0.22631.7652
- Windows 11 Version 24H2 Afectadas: 10.0.26100.0 y anteriores a 10.0.26100.9711
- Windows 11 Version 25H2 Afectadas: 10.0.26200.0 y anteriores a 10.0.26200.9711
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantemsrc.microsoft.com/update-guide/vulnerability/CVE-2026-105016
Ver el texto original en inglés (CVE.org)
Microsoft QUIC Remote Code Execution Vulnerability
Heap-based buffer overflow in Microsoft QUIC allows an unauthorized attacker to execute code over a network.