Microsoft ha corregido una vulnerabilidad de día cero (zero-day) en el componente Desktop Window Manager (DWM) de Windows, que estaba siendo explotada activamente antes de la publicación del parche de seguridad.
La vulnerabilidad, identificada como CVE-2026-20805, permite a un atacante local con bajos privilegios acceder a información sensible de la memoria en modo usuario. Esta información puede facilitar ataques posteriores de escalada de privilegios en sistemas comprometidos.
Microsoft confirmó la explotación real del fallo y publicó la corrección como parte de la actualización de seguridad de enero de 2026.
Sistemas afectados
La vulnerabilidad afecta principalmente a versiones antiguas de Windows que aún se encuentran en soporte extendido, entre ellas:
- Windows 10 (versiones anteriores)
- Windows Server 2012 / 2012 R2
- Windows Server 2016
Los sistemas sin soporte oficial o sin las últimas actualizaciones presentan un riesgo elevado.
Impacto potencial
- Exposición de direcciones de memoria sensibles
- Facilitación de técnicas para eludir mecanismos de protección (como ASLR)
- Apoyo a cadenas de ataque más complejas tras una intrusión inicial
- Riesgo elevado en contornos con múltiples usuarios o accesos locales
Aunque no es explotable remotamente, su baja complejidad y la ausencia de interacción del usuario lo convierten en un vector atractivo para malware y ataques post-explotación.
Medidas recomendadas
Se recomienda a administraciones públicas, empresas y ciudadanía:
- Aplicar de forma inmediata las actualizaciones de seguridad publicadas por Microsoft en enero de 2026.
- Priorizar la actualización de sistemas antiguos o en soporte extendido.
- Restringir el uso de cuentas locales con bajos privilegios cuando no sean necesarias.
- Supervisar el comportamiento del proceso Desktop Window Manager (DWM) mediante soluciones EDR o antivirus avanzados.
- Evaluar planes de actualización o sustitución de sistemas fuera de soporte.
Información adicional
- La vulnerabilidad ha sido clasificada con severidad “Alta” según CVSS.
- No existe prueba de concepto pública en este momento.
- Microsoft ha confirmado la explotación y la corrección oficial del fallo.
