Descripción
Microsoft Windows Shell contiene una vulnerabilidad de inyección de comandos que permite a un atacante no autorizado omitir una función de seguridad a través de la red.
Acción recomendada
Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 26-04.
Referencias
- Aviso de msrc.microsoft.com msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-96951
-
BOD 26-04: BOD 26-04: Prioritizing Security Updates Based on Risk | CISA
-
Requisitos de triaje forense: BOD 26-04: Implementation Guidance for Prioritizing Security Updates Based on Risk | CISA
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2026-96951
Ver el texto original en inglés (CISA)
Microsoft Windows Command Injection Vulnerability
Microsoft Windows Shell contains a command injection vulnerability that allows an unauthorized attacker to bypass a security feature over a network.
Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Notes: https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-96951 ; BOD 26-04: BOD 26-04: Prioritizing Security Updates Based on Risk | CISA ; Forensics Triage Requirements: BOD 26-04: Implementation Guidance for Prioritizing Security Updates Based on Risk | CISA ; https://nvd.nist.gov/vuln/detail/CVE-2026-96951
Otras vulnerabilidades de Microsoft en el catálogo
- CVE-2026-65660 Vulnerabilidad de inyección de código en Microsoft SharePoint Alta 25-09-2026
- CVE-2026-85880 Vulnerabilidad de desbordamiento de búfer en el heap en Microsoft Windows Alta 08-09-2026
- CVE-2026-81963 Vulnerabilidad de seguimiento de enlaces en Microsoft Windows Alta 08-09-2026
- CVE-2019-1068 Vulnerabilidad de ejecución remota de código en Microsoft SQL Server Alta 26-08-2026
- CVE-2026-55040 Vulnerabilidad de autenticación débil en Microsoft SharePoint Alta 18-08-2026