CVE-2026-96951 en Windows Shell: vulnerabilidad explotada

Qué es CVE-2026-96951 y a quién afecta

Microsoft Windows Shell arrastra una vulnerabilidad de inyección de comandos registrada como CVE-2026-96951. Según la descripción oficial, el fallo permite que un atacante no autorizado eluda una función de seguridad a través de la red. La NVD del NIST lo clasifica como una neutralización incorrecta de elementos especiales usados en un comando, es decir, el clásico CWE-77.

La gravedad es alta: CVSS 3.1 de 8.8, con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Traducido a la práctica: se puede atacar en remoto, la complejidad es baja, no hace falta autenticarse y el impacto sobre confidencialidad e integridad es alto, aunque requiere cierta interacción por parte del usuario. La fecha de publicación en NVD es el 13 de octubre de 2026.

Al tratarse de un componente presente en prácticamente cualquier equipo con Windows, el alcance potencial es enorme: estaciones de trabajo, portátiles de comerciales, servidores corporativos y también los servidores donde alojas tu web o tu tienda online. Si tu pyme trabaja con Windows en el día a día, esto te toca.

Por qué es urgente: ya se explota en ataques reales

No estamos ante un aviso teórico. CISA añadió CVE-2026-96951 a su catálogo KEV (Known Exploited Vulnerabilities) el 13 de octubre de 2026, lo que significa que hay constancia de explotación activa en ataques reales. Cuando una vulnerabilidad entra en ese catálogo, la ventana de reacción se cierra: los atacantes ya la conocen y la están usando.

CISA dio a las agencias federales de EE. UU. un plazo hasta el 16 de octubre de 2026 para aplicar mitigaciones siguiendo las instrucciones del fabricante y su guía BOD 26-04. Ese plazo de tres días es la mejor señal de la criticidad: si una agencia pública debe correr, tu empresa también debería moverse rápido. En el material consultado no consta uso conocido en campañas de ransomware, pero eso no rebaja la urgencia: la explotación ya está confirmada.

Qué hacer hoy en tu empresa

Estos son los pasos razonables, en orden:

• Inventariar. Comprueba qué equipos y servidores usan Windows y en qué versión. Sin inventario no hay gestión de parches posible.
• Aplicar lo que indique el aviso del fabricante. Consulta la guía de actualización de Microsoft para CVE-2026-96951 y sigue sus instrucciones de mitigación o actualización. No improvises parches ni des por hecho qué versión lo corrige: el material no lo especifica.
• Revisar indicios de intrusión. Busca ejecuciones anómalas de comandos, procesos inesperados en Windows Shell, conexiones salientes raras y cuentas o tareas programadas que nadie recuerda haber creado.
• Reducir lo expuesto a internet. Todo servicio Windows que no necesite estar accesible desde fuera debería dejar de estarlo. Cada puerto abierto es una puerta más.
• Segmentar y limitar privilegios. Que un equipo comprometido no pueda saltar al resto de la red corporativa.

Si tu equipo de IT es pequeño o directamente no existe, este tipo de tareas se acumulan y se posponen. Y es justo cuando se posponen cuando llega el incidente.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que necesitan cerrar vulnerabilidades antes de que alguien las explote. En un caso como CVE-2026-96951, nuestro enfoque pasa por localizar todos los sistemas Windows afectados, verificar el estado real de parcheo, aplicar las mitigaciones que indique el aviso del fabricante y revisar si ha habido actividad sospechosa.

Además de la respuesta puntual, hacemos auditorías de seguridad y pentesting, hardening de servidores, monitorización y respuesta a incidentes, y mantenimiento y actualización de WordPress, PrestaShop y Joomla. También reparamos webs hackeadas cuando el daño ya está hecho. Todo ello con la mirada puesta en el RGPD y la LOPDGDD, porque una brecha no es solo un problema técnico: también es una obligación legal de notificación y una cuestión de confianza con tus clientes.

La diferencia entre un susto y un incidente grave suele ser cuestión de días. En vulnerabilidades ya explotadas, de horas.

Relacionado

• Abuse Shield

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.