La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha emitido una alerta a las agencias federales sobre una vulnerabilidad en Excel que tiene 17 años de antigüedad y que está siendo utilizada actualmente en ciberataques activos, según informa go.theregister.com.
La CISA añadió el CVE-2009-0238 a su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV) poco después de que Microsoft lanzara 165 parches el pasado 14 de abril. La agencia ha impuesto un plazo de dos semanas para que las agencias del poder ejecutivo civil federal corrijan este fallo, un plazo una semana más corto de lo habitual.
Aunque la CISA no ha especificado la identidad ni el motivo de los atacantes, la vulnerabilidad permite la ejecución remota de código (RCE). Según el medio, los atacantes pueden activar este fallo engañando a los usuarios para que abran un documento de Excel especialmente diseñado que contiene un objeto malformado.
Una amenaza heredada
El error se remonta al 24 de febrero de 2009. En el momento de su divulgación inicial, Microsoft advirtió que una explotación exitosa podría permitir a los atacantes tomar el control total del sistema afectado.
"Un atacante podría entonces instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas con plenos derechos de usuario", afirmó Microsoft en su aviso original, según go.theregister.com.
La vulnerabilidad afecta a varias versiones antiguas de Microsoft Office, incluyendo Excel 2000, 2002, 2003 y 2007, así como a Excel Viewer y ciertas versiones para Mac de 2004 y 2008.
Este resurgimiento de un error antiguo coincide con un masivo "Patch Tuesday" de Microsoft. Junto al problema de Excel, la CISA también añadió recientemente el CVE-2026-32201 a su catálogo. Este fallo de suplantación en SharePoint Server, más reciente, fue explotado como un ataque de día cero (zero-day) y permite a los atacantes manipular datos a través de una red.
