Microsoft corrixiu unha vulnerabilidade de día cero (zero-day) no compoñente Desktop Window Manager (DWM) de Windows, que estaba a ser explotada activamente antes da publicación do parche de seguridade.
A vulnerabilidade, identificada como CVE-2026-20805, permite a un atacante local con baixos privilexios acceder a información sensible da memoria en modo usuario. Esta información pode facilitar ataques posteriores de escalada de privilexios en sistemas comprometidos.
Microsoft confirmou a explotación real do fallo e publicou a corrección como parte da actualización de seguridade de xaneiro de 2026.
Sistemas afectados
A vulnerabilidade afecta principalmente a versións antigas de Windows que aínda se atopan en soporte estendido, entre elas:
- Windows 10 (versións anteriores)
- Windows Server 2012 / 2012 R2
- Windows Server 2016
Os sistemas sen soporte oficial ou sen as últimas actualizacións presentan un risco elevado.
Impacto potencial
- Exposición de enderezos de memoria sensibles
- Facilitación de técnicas para eludir mecanismos de protección (como ASLR)
- Apoio a cadeas de ataque máis complexas tras unha intrusión inicial
- Risco elevado en contornos con múltiples usuarios ou accesos locais
Aínda que non é explotable de forma remota, a súa baixa complexidade e a ausencia de interacción por parte do usuario convértena nun vector atractivo para malware e ataques posteriores á explotación inicial.
Medidas recomendadas
Recoméndase ás administracións públicas, empresas e cidadanía:
- Aplicar de forma inmediata as actualizacións de seguridade publicadas por Microsoft en xaneiro de 2026.
- Priorizar a actualización de sistemas antigos ou en soporte estendido.
- Restrinxir o uso de contas locais con baixos privilexios cando non sexan necesarias.
- Supervisar o comportamento do proceso Desktop Window Manager (DWM) mediante solucións EDR ou antivirus avanzados.
- Avaliar plans de actualización ou substitución de sistemas fóra de soporte.
Información adicional
- A vulnerabilidade foi clasificada cun nivel de severidade “Alta” segundo CVSS.
- Non existe proba de concepto pública neste momento.
- Microsoft confirmou a explotación e a corrección oficial do fallo.
