{"id":689,"date":"2026-04-28T09:20:17","date_gmt":"2026-04-28T09:20:17","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/28\/microsoft-confirma-la-explotacion-activa-del-shell-de-windows-cve-2026-32202-cyberdefensa-mx\/"},"modified":"2026-04-28T09:20:17","modified_gmt":"2026-04-28T09:20:17","slug":"microsoft-confirma-la-explotacion-activa-del-shell-de-windows-cve-2026-32202-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/28\/microsoft-confirma-la-explotacion-activa-del-shell-de-windows-cve-2026-32202-cyberdefensa-mx\/","title":{"rendered":"Microsoft confirma la explotaci\u00f3n activa del Shell de Windows CVE-2026-32202 \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Microsoft revis\u00f3 el lunes su aviso sobre una falla de seguridad de alta gravedad ahora parcheada que afecta a Windows Shell para reconocer que ha sido explotada activamente en la naturaleza.<\/p>\n<p>La vulnerabilidad en cuesti\u00f3n es <strong>CVE-2026-32202<\/strong> (Puntuaci\u00f3n CVSS: 4,3), una vulnerabilidad de suplantaci\u00f3n de identidad que podr\u00eda permitir a un atacante acceder a informaci\u00f3n confidencial. Se abord\u00f3 como parte de su actualizaci\u00f3n del martes de parches para este mes.<\/p>\n<p>\u00abLa falla del mecanismo de protecci\u00f3n en Windows Shell permite que un atacante no autorizado realice suplantaci\u00f3n de identidad en una red\u00bb, Microsoft <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2026-32202\">anotado<\/a> en una alerta. \u00abUn atacante tendr\u00eda que enviar a la v\u00edctima un archivo malicioso que la v\u00edctima tendr\u00eda que ejecutar\u00bb.<\/p>\n<p>\u00abUn atacante que aprovech\u00f3 con \u00e9xito la vulnerabilidad podr\u00eda ver cierta informaci\u00f3n confidencial (Confidencialidad), pero no todos los recursos dentro del componente afectado pueden ser divulgados al atacante. El atacante no puede realizar cambios en la informaci\u00f3n divulgada (Integridad) ni limitar el acceso al recurso (Disponibilidad)\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-agentic-guide-d-3\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgKLSgj9Smgyqpn4Kj-zAzWxJG1LUku8TpOERMxD6_hmMZQtXRFYXU-NA2ocnjrRafjkLtrxujKRuBstSZ4Il5z6hOu4oa7UM1FjkNoRQqrF5MWlShygYIqpnMGxHX2RHEBh9Y40x-p4PKn3cSlaWTEwKiVBDSoJgLPzR09dmp8HBffLlIqro73HVD30D00\/s728-e100\/nudge-d-3.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El 27 de abril de 2026, Microsoft dijo que rectific\u00f3 el \u00ab\u00cdndice de explotabilidad, el indicador de explotaci\u00f3n y el vector CVSS\u00bb porque eran incorrectos cuando se publicaron el 14 de abril.<\/p>\n<p>Si bien el gigante tecnol\u00f3gico no comparti\u00f3 ning\u00fan detalle sobre la actividad de explotaci\u00f3n, el investigador de seguridad de Akamai, Maor Dahan, a quien se le atribuye el descubrimiento y el informe del error, dijo que la vulnerabilidad de clic cero se debe a un parche incompleto para CVE-2026-21510.<\/p>\n<p>Este \u00faltimo ha sido utilizado como arma por un grupo de estado-naci\u00f3n ruso rastreado como APT28 (tambi\u00e9n conocido como Fancy Bear, Forest Blizzard, GruesomeLarch y Pawn Storm) junto con CVE-2026-21513 como parte de una cadena de exploits.<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-21510\">CVE-2026-21510<\/a><\/strong>  (Puntuaci\u00f3n CVSS: 8,8): una falla en el mecanismo de protecci\u00f3n en Windows Shell que permite a un atacante no autorizado eludir una caracter\u00edstica de seguridad en una red. (Solucionado por Microsoft en febrero de 2026)<\/li>\n<li><strong><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-21513\">CVE-2026-21513<\/a><\/strong>  (Puntuaci\u00f3n CVSS: 8,8): una falla en el mecanismo de protecci\u00f3n en MSHTML Framework que permite a un atacante no autorizado eludir una caracter\u00edstica de seguridad en una red. (Solucionado por Microsoft en febrero de 2026)<\/li>\n<\/ul>\n<p>Vale la pena se\u00f1alar que el abuso de CVE-2026-21513 tambi\u00e9n fue se\u00f1alado por la compa\u00f1\u00eda de seguridad e infraestructura web a principios del mes pasado, vincul\u00e1ndolo con APT28 despu\u00e9s de descubrir un artefacto malicioso en enero de 2026.<\/p>\n<table cellpadding=\"0\" cellspacing=\"0\" class=\"tr-caption-container\" style=\"float: left;\">\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhhiJ6i2yR87rj_rxxQHlwM7BT7FHpbHFc6mz18UV4QhEUe_Jfuv87c08iZ6GX_5LFRCMSdasomM58RWnV5SMKEAIgK19b3j8D6SZbIaQejSbFQIiMQ8AikrbFHlUBeXIZydd9BPAlIfWN_cxx6VqHnp_sqUfzToMdWiCtwaBnQHHYw2uRcHO8TgoFPZDHu\/s1700-e365\/CVE-2026-21510.jpg\" style=\"clear: left; display: block; margin-left: auto; margin-right: auto;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhhiJ6i2yR87rj_rxxQHlwM7BT7FHpbHFc6mz18UV4QhEUe_Jfuv87c08iZ6GX_5LFRCMSdasomM58RWnV5SMKEAIgK19b3j8D6SZbIaQejSbFQIiMQ8AikrbFHlUBeXIZydd9BPAlIfWN_cxx6VqHnp_sqUfzToMdWiCtwaBnQHHYw2uRcHO8TgoFPZDHu\/s1700-e365\/CVE-2026-21510.jpg\" alt=\"\" border=\"0\" data-original-height=\"1092\" data-original-width=\"1920\"\/><\/a><\/td>\n<\/tr>\n<tr>\n<td class=\"tr-caption\" style=\"text-align: center;\">CVE-2026-21510 Explotaci\u00f3n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>La campa\u00f1a, dirigida a Ucrania y los pa\u00edses de la UE en diciembre de 2025, aprovecha un archivo malicioso de acceso directo de Windows (LNK) para explotar las dos vulnerabilidades, evitando efectivamente Microsoft Defender SmartScreen y permitiendo la ejecuci\u00f3n de c\u00f3digo controlado por atacantes.<\/p>\n<p>\u00abAPT28 aprovecha el mecanismo de an\u00e1lisis del espacio de nombres del Shell de Windows para cargar una biblioteca de v\u00ednculos din\u00e1micos (DLL) desde un servidor remoto utilizando una ruta UNC\u00bb, Dahan <a href=\"https:\/\/www.akamai.com\/blog\/security-research\/2026\/apr\/incomplete-patch-apt28s-zero-day-cve-2026-32202\">explicado<\/a>. \u00abLa DLL se carga como parte del Panel de control (<a href=\"https:\/\/www.ired.team\/offensive-security\/code-execution\/executing-code-in-control-panel-item-through-an-exported-cplapplet-function\">CPL<\/a>) objetos sin la validaci\u00f3n adecuada de la zona de red.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Akamai dijo que el parche de febrero de 2026, si bien mitigaba el riesgo de ejecuci\u00f3n remota de c\u00f3digo al activar una verificaci\u00f3n SmartScreen de la firma digital y la zona de origen del archivo CPL, a\u00fan permit\u00eda que la m\u00e1quina v\u00edctima se autenticara en el servidor del atacante y recuperara autom\u00e1ticamente el archivo CPL resolviendo la Convenci\u00f3n de nomenclatura universal (<a href=\"https:\/\/learn.microsoft.com\/en-us\/openspecs\/windows_protocols\/ms-dtyp\/62e862f4-2a51-452e-8eeb-dc4ff5ee33cc\">UNC<\/a>) ruta e iniciar una conexi\u00f3n SMB sin requerir interacci\u00f3n del usuario.<\/p>\n<p>\u00abCuando esa ruta es una ruta UNC (como &#8216;\\\\attacker.com\\share\\payload.cpl&#8217;), Windows inicia una conexi\u00f3n SMB con el servidor del atacante\u00bb, dijo Dahan. \u00abEsta conexi\u00f3n de bloque de mensajes del servidor (SMB) activa un protocolo de enlace de autenticaci\u00f3n NTLM autom\u00e1tico, enviando el hash Net-NTLMv2 de la v\u00edctima al atacante, que luego puede usarse para ataques de retransmisi\u00f3n NTLM y craqueo fuera de l\u00ednea\u00bb.<\/p>\n<p>\u00abAunque Microsoft solucion\u00f3 el RCE inicial (CVE-2026-21510), persisti\u00f3 una falla de coerci\u00f3n de autenticaci\u00f3n (CVE-2026-32202). Esta brecha entre la resoluci\u00f3n de ruta y la verificaci\u00f3n de confianza dej\u00f3 un vector de robo de credenciales sin hacer clic a trav\u00e9s de archivos LNK analizados autom\u00e1ticamente\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Microsoft revis\u00f3 el lunes su aviso sobre una falla de seguridad de alta gravedad ahora parcheada que afecta a Windows Shell para reconocer que ha sido explotada activamente en la naturaleza. La vulnerabilidad en cuesti\u00f3n es CVE-2026-32202 (Puntuaci\u00f3n CVSS: 4,3), una vulnerabilidad de suplantaci\u00f3n de identidad que podr\u00eda permitir a un atacante acceder a informaci\u00f3n [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":589,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[107,343,2144,24,70,106,50,235,421],"class_list":["post-689","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-activa","tag-confirma","tag-cve202632202","tag-cyberdefensa-mx","tag-del","tag-explotacion","tag-microsoft","tag-shell","tag-windows"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/689","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=689"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/689\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/589"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=689"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=689"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=689"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}