Introducció
Microsoft ha corregit 114 vulnerabilitats en el seu butlletí de seguretat de gener de 2026, incloses 3 vulnerabilitats zero-day, una de les quals està sent explotada activament. Estes vulnerabilitats inclouen des de divulgació d’informació sensible i elevació de privilegis fins a bypass de característiques de seguretat i errors que podrien permetre l’execució de codi remota. Les fallades afecten múltiples components de Windows i programari associat, i diverses categories de risc estan representades, amb una gran proporció de vulnerabilitats d’elevació de privilegis i execució remota de codi.
Anàlisi
Destaquen les 3 vulnerabilitats zero-day:
CVE-2026-20805: Desktop Window Manager Information Disclosure Vulnerability
Una vulnerabilitat de divulgació d’informació en el Desktop Window Manager (DWM), activament explotada. Un atacant amb accés autoritzat local podria aprofitar esta fallada per a llegir adreces de memòria del procés associat al port ALPC remot, la qual cosa pot revelar informació interna útil per a posteriors vectors d’atac.
CVE-2026-21265: Secure Boot Certificate Expiration Security Feature Bypass Vulnerability
Esta vulnerabilitat ha sigut públicament divulgada, i està relacionada amb la caducitat d’uns certs certificats d’arrancada segura (Secure Boot). Els certificats emesos en 2011 eren pròxims a la seua data d’expiració, la qual cosa podria permetre a un atacant eludir les proteccions de Secure Boot en sistemes no actualitzats. El pedaç renova estos certificats per a restaurar la cadena de confiança i mantindre la verificació de components d’arrancada.
CVE-2023-31096: Windows Agere Soft Modem Driver Elevation of Privilege Vulnerability
Esta vulnerabilitat afecta el controlador de tercers Agere Soft Modem. Explotacions prèvies permetien l’escalada de privilegis administratius (SYSTEM). En l’actualització d’este mes, Microsoft ha eliminat completament els controladors vulnerables (agrsm64.sys i agrsm.sys) dels sistemes compatibles per a mitigar el risc.
Recomanacions:
Aplicar les actualitzacions de Microsoft quan estiguen disponibles
Referències: