Actualización crítica para Windows TCP/IP (CVE-2024-38063)
CVE-2024-38063 no es una vulnerabilidad más, sino uno de los fallos más graves que Microsoft ha corregido en los últimos años. Se trata de una ejecución remota de código en la pila TCP/IP de Windows con una puntuación CVSS de 9,8 sobre 10, lo más alto dentro de la categoría crítica. Lo que la hace especialmente peligrosa es que la explotación es de tipo zero-click y no requiere autenticación: basta con que un atacante envíe de forma repetida paquetes IPv6 especialmente diseñados a una máquina vulnerable para ejecutar código arbitrario y tomar el control del equipo, sin que el usuario tenga que hacer nada. El origen del fallo está en un desbordamiento de enteros en el controlador tcpip.sys al procesar paquetes IPv6 fragmentados, que acaba derivando en un desbordamiento de búfer. Y hay un detalle inquietante: el error se dispara antes de que el cortafuegos de Windows procese el tráfico, así que bloquear IPv6 en el firewall local no sirve como defensa.
La urgencia viene marcada por varios factores. Microsoft calificó esta vulnerabilidad como de «explotación más probable», un aviso de que se esperaba un uso activo en poco tiempo, y semanas después ya circulaba un código de prueba de concepto público capaz de provocar la caída del sistema. Afecta a todas las versiones de Windows con IPv6 activado —y lo está por defecto—, desde Windows 10 y Windows 11 hasta las distintas ediciones de Windows Server, incluidos equipos que ya han agotado su soporte. El parche llegó con las actualizaciones del Patch Tuesday del 13 de agosto de 2024, así que cualquier equipo sin actualizar sigue expuesto. Hasta que se instale el parche, la única mitigación recomendada por Microsoft es desactivar IPv6, una medida temporal que conviene aplicar con cautela porque puede interferir con funciones del sistema. Instalar la actualización no admite demora.
Parche de seguridad para el kernel de Windows (CVE-2024-38106)
CVE-2024-38106 no es un arreglo menor: es una vulnerabilidad de elevación de privilegios alojada en el propio núcleo de Windows, el kernel (ntoskrnl.exe). Para explotarla, un atacante con acceso local y privilegios bajos debe ganar una condición de carrera, un fallo que Microsoft califica de alta complejidad pero que en la práctica ya se ha demostrado explotable. La compañía cerró la brecha el 13 de agosto de 2024, después de confirmarse ataques en plena naturaleza, lo que la convirtió en uno de los seis fallos de día cero activamente explotados que resolvió ese Patch Tuesday. Ese mismo día, la agencia estadounidense CISA la incluyó en su catálogo de vulnerabilidades explotadas conocidas y fijó el 3 de septiembre de 2024 como plazo para parchear. El éxito de la explotación otorga privilegios de SYSTEM, la cuenta con máximos permisos del sistema operativo: quien la consigue controla el equipo por completo, sin interacción del usuario y con impacto total sobre la confidencialidad, la integridad y la disponibilidad del sistema.
Lo que convierte este parche en urgente es quién está detrás de su explotación. Investigadores han vinculado los ataques con Lazarus, el conocido grupo de ciberespionaje norcoreano, y con FudModule, un rootkit que emplea este tipo de agujeros para escalar desde una cuenta con pocos permisos hasta el control absoluto de la máquina y desactivar sus protecciones. Aunque el vector es local, los atacantes encadenan esta técnica con vías de entrada como el phishing o las descargas maliciosas para convertir un acceso inicial limitado en dominio total. El fallo alcanza a un espectro amplísimo de versiones: Windows 10 desde la 1607, Windows 11 y Windows Server 2016, 2019 y 2022, incluidas las instalaciones Server Core. Por eso, instalar la actualización acumulativa de agosto de 2024, o cualquiera de las posteriores que la incorporan, no admite demora: mientras el equipo siga sin parchear, cualquier usuario local con privilegios mínimos, o cualquier malware ya presente, conserva una puerta abierta hacia los permisos máximos del sistema.
Actualización para el Coordinador de dependencias de energía (CVE-2024-38107)
El Coordinador de dependencias de energía (Power Dependency Coordinator) es el componente de Windows que gestiona el consumo del equipo y sus transiciones a estados de suspensión o reposo. La vulnerabilidad CVE-2024-38107, corregida en el boletín de seguridad de agosto de 2024, es un fallo de uso después de liberación (use-after-free) en ese componente: un atacante local con una cuenta de pocos privilegios puede provocar el error y ejecutar código arbitrario con permisos de SYSTEM, la cuenta de máximo nivel del sistema operativo. Microsoft le asignó una puntuación CVSS de 7,8 (alta) y, lo más relevante, confirmó que ya se estaba explotando de forma activa antes de publicar el parche. La agencia estadounidense CISA la incluyó el 13 de agosto en su catálogo de vulnerabilidades explotadas (KEV) y dio a las agencias federales hasta el 3 de septiembre para corregirla. Que un fallo figure en el KEV es la señal más inequívoca de que hay grupos reales usándolo contra sistemas reales.
El alcance tampoco invita a la demora: afecta a prácticamente todas las versiones compatibles, desde Windows 10 1507 hasta Windows 11 24H2, y a Windows Server 2012, 2012 R2, 2016, 2019, 2022 y 23H2. La explotación no exige interacción del usuario ni condiciones complejas: con una cuenta limitada basta para intentar escalar a SYSTEM, lo que convierte cualquier compromiso inicial (un phishing, una descarga maliciosa) en control total del equipo: instalar malware, desactivar defensas, robar credenciales o saltar a otros sistemas de la red. Microsoft no publicó indicadores de compromiso, así que no hay forma de saber si un equipo ya fue atacado antes de aplicar la corrección. La actualización del 13 de agosto de 2024 resuelve el fallo, pero solo si se instala; de ahí que sea una de las que más urge tener al día.
Parche para MSHTML de Windows (CVE-2024-43461)
El parche para la vulnerabilidad CVE-2024-43461 es uno de los más urgentes de los últimos años porque afecta al motor MSHTML, el corazón del ya retirado Internet Explorer que Microsoft sigue incluyendo en Windows por compatibilidad. Aunque el navegador esté jubilado, esa plataforma permanece activa en el sistema y la utilizan el modo IE de Microsoft Edge y numerosas aplicaciones a través del control WebBrowser, lo que convierte el fallo en un problema transversal: Microsoft confirmó que todas las versiones soportadas de Windows son vulnerables. La clasificó como de suplantación (spoofing) con una puntuación CVSS de 8,8 sobre 10 y permite ejecutar código arbitrario con los permisos del usuario actual si la víctima visita una página o abre un archivo malicioso. El truco consistía en ocultar la extensión real de un archivo tras la descarga empleando caracteres Unicode de espacio en blanco tipo braille, de modo que una aplicación HTML (.hta) parecía un inofensivo documento PDF.
Lo que eleva este parche al nivel de imprescindible es que el fallo ya se explotó en la naturaleza como un día cero antes de su corrección. Microsoft lo solucionó el 10 de septiembre de 2024, pero tres días después reconoció que se había usado en ataques desde antes de julio, dentro de una cadena junto a CVE-2024-38112: el atacante forzaba la apertura de Internet Explorer con un archivo .url y luego disfrazaba el archivo malicioso gracias a esta vulnerabilidad. Detrás estaba Void Banshee, un grupo de amenaza persistente que distribuía falsos PDF de libros por Discord y webs de descarga para instalar el ladrón de información Atlantida, capaz de robar contraseñas, cookies y carteras de criptomonedas. La agencia estadounidense CISA incluyó el fallo en su catálogo de vulnerabilidades explotadas y dio a las agencias federales hasta el 7 de octubre de 2024 para mitigarlo. Microsoft insiste en aplicar tanto los parches de septiembre como los de julio, que rompieron la cadena de ataque.
Actualización para Microsoft Management Console (CVE-2024-43572)
La vulnerabilidad CVE-2024-43572 afecta a Microsoft Management Console (MMC), la herramienta nativa de Windows que los administradores emplean para configurar y supervisar el sistema. Su gravedad no admite discusión: es un fallo de ejecución remota de código (RCE) con una puntuación CVSS de 7,8 que ya se estaba explotando activamente en ataques reales antes de que Microsoft publicara el parche, por lo que se trata de un día cero confirmado. El ataque se materializa cuando la víctima abre un archivo Microsoft Saved Console (.msc) manipulado, distribuido normalmente como adjunto de correo o mediante un enlace de descarga, a menudo con técnicas de ingeniería social. Al abrirlo, el atacante puede ejecutar código arbitrario con los privilegios del usuario y tomar el control del equipo: instalar malware, robar credenciales o moverse lateralmente por la red corporativa.
Que Microsoft confirmara explotación en la naturaleza eleva la urgencia, pero además el fallo fue divulgado públicamente, lo que amplifica el riesgo: cualquier grupo criminal puede hacerse con un exploit funcional y replicar los ataques. La corrección, incluida en el acumulativo de octubre de 2024, bloquea la apertura de archivos MSC no confiables y es la mitigación garantizada frente al problema. El alcance es enorme: prácticamente todas las versiones de Windows, desde Server 2008 SP2 y Windows 10 hasta Windows 11 y Server 2022, incluidos los sistemas Server Core. Resulta especialmente peligroso en entornos empresariales, donde un solo clic de un empleado en un archivo malicioso puede comprometer toda la infraestructura. Por eso esta actualización debe instalarse cuanto antes, incluso por delante de otras correcciones del mismo paquete.
Corrección de seguridad para Windows SmartScreen (CVE-2024-21412)
CVE-2024-21412 no es un fallo cualquiera de Windows, sino una brecha que anula una de las barreras de seguridad más visibles para el usuario: Windows Defender SmartScreen. Este componente muestra avisos antes de ejecutar archivos descargados de Internet que no son de confianza, y la vulnerabilidad, con una puntuación CVSS de 8,1, permite saltárselos por completo. El truco consiste en crear un acceso directo de Internet (.url) que apunta a otro archivo .url alojado en un recurso remoto SMB o WebDAV: al anidar accesos directos, el sistema pierde la pista del Mark-of-the-Web, la marca que delata el origen de la descarga, y el archivo final se ejecuta sin advertencia alguna. La descubrió el Zero Day Initiative de Trend Micro y, lo más preocupante, servía como vía de escape al parche de una vulnerabilidad anterior, CVE-2023-36025, corregida apenas un mes antes, lo que demuestra que los atacantes encuentran rápidamente nuevas vías cuando un fallo se cierra.
Lo que hace de esta corrección una instalación urgente es que el fallo se explotó activamente como día cero antes incluso de que Microsoft publicara el parche, que llegó con los boletines de seguridad de febrero de 2024. El grupo de amenaza persistente Water Hydra, también conocido como DarkCasino, lo utilizó desde finales de diciembre de 2023 para colar el troyano DarkMe en equipos de operadores de mercados financieros y de divisas, con el objetivo de robar datos y allanar el camino a ataques de ransomware. Más tarde, los operadores del malware DarkGate lo aprovecharon con instaladores falsos de iTunes, Notion y NVIDIA distribuidos mediante redirecciones abiertas de la publicidad de Google, y FortiGuard detectó campañas de ladrones de información (ACR Stealer, Lumma y Meduza) dirigidas a Norteamérica, Tailandia y España. La agencia estadounidense CISA incluyó la brecha en su catálogo de vulnerabilidades explotadas, y cualquier equipo que aún no tenga aplicada la actualización sigue expuesto a estas cadenas de ataque ya documentadas.
Actualización para NTFS de Windows (CVE-2024-43451)
La CVE-2024-43451, corregida por Microsoft el 12 de noviembre de 2024 en el parche mensual, es un cero-día que ya se estaba explotando activamente antes de que existiera solución, y eso la convierte en prioridad absoluta. Aunque se ha popularizado como un fallo ligado al manejo de archivos y a NTFS, el problema real reside en el protocolo NTLM: un atacante puede robar el hash NTLMv2 de la víctima sin que esta tenga que abrir el archivo malicioso. Basta con interactuar mínimamente con un archivo .url manipulado: hacer clic derecho sobre él, seleccionarlo, arrastrarlo a otra carpeta o incluso borrarlo. Con ese hash, el intruso puede autenticarse como el usuario legítimo mediante ataques pass-the-hash, moverse lateralmente por la red y, si la cuenta tiene privilegios, comprometer el dominio entero. Pese a su 6,5 en la escala CVSS, expertos como Ivanti aconsejan tratarla como crítica: afecta a todas las versiones soportadas de Windows, desde Server 2008 hasta Windows 11.
El riesgo no es teórico. La firma ClearSky detectó la explotación en junio de 2024 y la atribuyó al actor UAC-0194, presuntamente vinculado a Rusia, que la usó contra entidades ucranianas: una campaña de phishing desde un servidor gubernamental ucraniano comprometido distribuía archivos .url que, al ser manipulados, descargaban el troyano SparkRAT. La CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas, con plazo de corrección para agencias federales el 3 de diciembre de 2024. Y el fallo sigue coleando: seis días después del parche, el grupo sudamericano Blind Eagle ya empleaba una variante de la técnica contra instituciones colombianas, con más de 1.600 víctimas en una sola campaña de diciembre de 2024. Instalar las acumulativas de noviembre, como la KB5046617 en Windows 11 24H2 o sus equivalentes en otras versiones, sigue siendo la única defensa fiable incluso para equipos aparentemente limpios.
La entrada Las actualizaciones urgentes de Windows que debes instalar ahora mismo para evitar que hackers controlen tu ordenador aparece primero en Moncloa.
