Microsoft ha publicado recientemente sus actualizaciones de seguridad correspondientes a febrero de 2026, corrigiendo un total de 58 vulnerabilidades que afectan a distintos componentes del sistema operativo Windows y otros productos.
Entre las vulnerabilidades corregidas se incluyen fallos de ejecución remota de código (RCE), elevación de privilegios, bypass de funciones de seguridad, divulgación de información y denegación de servicio (DoS).
Este tipo de vulnerabilidades supone un riesgo relevante en entornos corporativos, especialmente en estaciones de trabajo y servidores Windows, donde una explotación exitosa podría comprometer la confidencialidad, integridad y disponibilidad de los sistemas.
Análisis
En esta actualización Microsoft ha corregido un total de 58 vulnerabilidades, distribuidas del siguiente modo:
- 25 de elevación de privilegios
- 12 de ejecución remota de código (RCE)
- 6 de divulgación de información
- 7 de spoofing
- 5 bypass de funciones de seguridad
- 3 de denegación de servicio (DoS)
De especial relevancia, se han corregido 6 vulnerabilidades zero-day que se encuentran activamente explotadas. Tres de ellas, además, estaban divulgadas públicamente:
- CVE-2026-21510 (Windows Shell): permite saltarse SmartScreen/MoTW mediante enlaces o accesos directos maliciosos.
- CVE-2026-21513 (MSHTML): bypass de seguridad sin detalles técnicos publicados.
- CVE-2026-21514 (Microsoft Word): un documento malicioso puede evadir mitigaciones OLE.
- CVE-2026-21519 (Desktop Window Manager): permite escalada a privilegios SYSTEM.
- CVE-2026-21525 (Remote Access Connection Manager): DoS local, detectado en malware público.
- CVE-2026-21533 (Remote Desktop Services): permite elevar privilegios y añadir usuarios al grupo Administradores.
Adicionalmente, Microsoft ha anunciado una actualización importante relacionada con Secure Boot, iniciando el despliegue gradual de nuevos certificados para sustituir los certificados de 2011, que expiran en junio de 2026. Este despliegue se aplicará progresivamente según señales de actualización correctas.
Recursos afectados
- Sistemas Windows (estaciones de trabajo y servidores).
- Infraestructuras con servicios habilitados como Remote Desktop Services.
- Equipos con Microsoft Office (especialmente Word).
- Sistemas que dependan de Secure Boot.
Recomendaciones
- Revisar si los sistemas Windows de la organización están actualizados con los parches de febrero 2026.
- Priorizar la actualización en equipos expuestos a red, servidores críticos y equipos de usuarios con acceso a información sensible.
- Aplicar las actualizaciones de Microsoft siguiendo los procedimientos corporativos establecidos.
- Revisar especialmente entornos con RDP habilitado y estaciones de trabajo que reciban documentos externos.
- Monitorizar los sistemas tras la actualización para detectar comportamientos anómalos.
- Tener en cuenta el despliegue progresivo de los nuevos certificados de Secure Boot y validar su compatibilidad en entornos críticos.
Referencias
- https://www.bleepingcomputer.com/news/microsoft/microsoft-february-2026-patch-tuesday-fixes-6-zero-days-58-flaws/
- https://www.darkreading.com/vulnerabilities-threats/microsoft-fixes-6-actively-exploited-zero-days
- https://blog.talosintelligence.com/microsoft-patch-tuesday-february-2026/
- https://cyberscoop.com/microsoft-patch-tuesday-february-2026/
- https://securityaffairs.com/187848/uncategorized/microsoft-patch-tuesday-security-updates-for-february-2026-fix-six-actively-exploited-zero-days.html
- https://www.securityweek.com/6-actively-exploited-zero-days-patched-by-microsoft-with-february-2026-updates/
- https://www.theregister.com/2026/02/10/microsofts_valentines_gift_to_admins/
- Por último, te invitamos a compartir este boletín con tus allegados para fomentar y difundir una Cultura de la Ciberseguridad y buenas prácticas en el uso de las nuevas tecnologías.
Si tienes alguna inquietud sobre ciberseguridad o necesidad de formación en esta área, visita nuestras webs. Encontrarás consejos, cursos online, informes y mucho más contenido: https://www.csirtcv.gva.es/ y https://concienciat.gva.es/ y síguenos en nuestras redes sociales: Facebook (CSIRT-CV), X (@CSIRTCV) y ) i YouTube (@csirt-cv6271).