Calendario de Microsoft
Esta semana en seguridad: un Patch Tuesday récord, la mala racha de PHP, la vulnerabilidad más antigua, ejércitos de AI y más: Microsoft cerró más de 1.400 vulnerabilidades de una sola vez. El récord anterior se produjo en septiembre. Las aproximadamente 1.000 vulnerabilidades de septiembre alcanzaron unas diez veces la media mensual habitual, estableciendo el récord anterior y, según Tenable, Microsoft superó las 4.000 CVE a dos meses de que termine el año.
De las vulnerabilidades, solo una ya está siendo explotada, y se trata de CVE-2026-96951, una vulnerabilidad de omisión de la función de seguridad de Windows Shell que afecta a Windows 10, 11 y algunas versiones de Server.
Palabras de Windows
CVE-2026-108398 ya se había hecho pública anteriormente. Al menos 78 vulnerabilidades tienen una calificación «crítica» y la mayoría permite la ejecución remota de código sin interacción del usuario. La mayoría permite la ejecución remota de código. Microsoft amplió silenciosamente las actualizaciones gratuitas para Windows 10 hasta octubre de 2027. La compañía lo atribuye a los LLM.
Aclaraciones sobre TLS
Según un análisis de Fortra, este año solo 26 vulnerabilidades de Microsoft entraron en el catálogo KEV de la CISA, y se recomienda a los administradores usar este catálogo para la priorización.
Por otro lado, se descubrió que las claves privadas de ocho certificados intermedios —seis de TLS y dos de firma de código— de la autoridad de certificación india eMudhra (emSign) habían sido comprometidas. Los certificados estaban vinculados a emSign ECC Root CA – G3, en la que confían Chrome, Apple y Mozilla. Un investigador llamado «Wayne» demostró la situación firmando mensajes con las claves. Según lo compartido por Flüpke en Mastodon, el valor secreto de la clave «EM OV TLS CA – G3C» era solo 4; las demás también se descifraron en poco tiempo:
La lista que Flüpke compartió en Mastodon, que muestra los valores secretos de las claves, contenía las siguientes seis entradas en el mismo orden y con su propio formato.
Cronología de las claves
La lista constaba de seis valores. – 56 – 230 – 237 – 115 – 155 – 156 – 66
Se señaló que las claves podían derivarse de certificados públicos desde el momento en que fueron creadas en abril de 2025. El bloqueo llegó con rapidez. Según The Hacker News, Chrome publicó un bloqueo en dos horas, mientras que Mozilla bloqueó los certificados en menos de tres horas, retiró la raíz de NSS y publicó una actualización de Firefox (CVE-2026-113470).