Este martes de parches de enero de 2026, Microsoft ha publicado actualizaciones de seguridad para 114 fallas, incluida una vulnerabilidad de día cero explotada activamente y dos divulgadas públicamente. También se abordan ocho vulnerabilidades «críticas», 6 de las cuales son fallas de ejecución remota de código y 2 son fallas de elevación de privilegios.
La cantidad de errores en cada categoría de vulnerabilidad se enumera a continuación:
- 57 vulnerabilidades de elevación de privilegios
- 3 vulnerabilidades de omisión de funciones de seguridad
- 22 vulnerabilidades de ejecución remota de código
- 22 vulnerabilidades de divulgación de información
- 2 vulnerabilidades de denegación de servicio
- 5 vulnerabilidades de suplantación de identidad
Estas cantidades no incluyen Microsoft Edge (1 falla) y las vulnerabilidades de Mariner corregidas a principios de este mes.
Para obtener más información sobre las actualizaciones no relacionadas con la seguridad publicadas hoy, puede revisar nuestros artículos dedicados a las actualizaciones acumulativas KB5074109 y KB5073455 de Windows 11 y a la actualización de seguridad extendida KB5073724 de Windows 10.
3 Zero-Days, uno explotado
Este mes se corrige una vulnerabilidad de día cero explotada activamente y dos divulgadas públicamente.
El día cero activamente explotado es:
- CVE-2026-20805 (CVSS 5,5): vulnerabilidad de divulgación de información del Administrador de ventanas de escritorio. «La exposición de información confidencial a un actor no autorizado en Desktop Windows Manager permite a un atacante autorizado revelar información localmente», explica Microsoft. Microsoft dice que explotar con éxito la falla permite a los atacantes leer direcciones de memoria asociadas con el puerto ALPC remoto.
Las fallas de día cero divulgadas públicamente son:
- CVE-2026-21265: Microsoft advierte que los certificados de arranque seguro de Windows emitidos en 2011 están a punto de caducar y que los sistemas que no se actualizan tienen un mayor riesgo de que los actores de amenazas pasen por alto el arranque seguro.
Microsoft ya había revelado esta vulnerabilidad en un aviso de junio titulado «Caducidad del certificado de arranque seguro de Windows y actualizaciones de CA».
- CVE-2023-31096: Microsoft advirtió previamente en octubre sobre vulnerabilidades explotadas activamente en un controlador de módem Agere de terceros que se envía con versiones compatibles de Windows y dijo que se eliminarían en una actualización futura. Estas vulnerabilidades fueron explotadas para obtener privilegios administrativos en sistemas comprometidos. Como parte de las actualizaciones de enero, Microsoft ha eliminado estos controladores vulnerables de Windows.
Además la empresa ha publicado actualizaciones para 6 vulnerabilidades críticas relacionadas con Office: CVE-2026-20822, CVE-2026-20952, CVE-2026-20953, CVE-2026-20957, CVE-2026-20944 y CVE-2026-20955.
Otra vulnerabilidad crítica está relacionada con un RCE (CVE-2026-20854 – CVSS 7,5) en el servicio Windows Local Security Authority Subsystem Service (LSASS) y; la última afecta al servicio Windows Virtualization-Based Security (VBS) Enclave (CVE-2026-20876).
Fuente y redacción: segu-info.com.ar
