Microsoft ha publicado una actualización de seguridad de gran alcance que incluye 165 nuevas vulnerabilidades y exposiciones comunes (CVE), entre las que se encuentra un fallo que ya está siendo aprovechado en ataques activos.
Según informa go.theregister.com, los atacantes ya están explotando una vulnerabilidad de suplantación (spoofing) en Microsoft SharePoint Server, identificada como CVE-2026-32201. El fallo se debe a una validación de entrada incorrecta, lo que permite a usuarios no autorizados realizar suplantaciones a través de la red.
Este exploit permite a los atacantes visualizar información sensible y modificar datos divulgados. Mike Walters, presidente y cofundador del proveedor de gestión de parches Action1, comentó al medio que el error puede utilizarse para manipular la forma en que se presenta la información a los usuarios, lo que podría engañarlos para que confíen en contenido malicioso.
Walters añadió que el fallo permite "falsificar la confianza a gran escala: lo que parece legítimo puede ser, en realidad, un engaño cuidadosamente diseñado". Asimismo, señaló que el error puede facilitar ataques de phishing, la manipulación no autorizada de datos o campañas de ingeniería social.
El auge del descubrimiento de errores mediante IA
Este ciclo mensual de parches representa el segundo mayor lanzamiento de CVE mensuales en la historia de Microsoft, según Dustin Childs, de la Zero Day Initiative. Childs sugirió que este enorme volumen de vulnerabilidades podría estar relacionado con un aumento en las notificaciones detectadas por herramientas de inteligencia artificial.
Microsoft confirmó que su equipo de respuesta de seguridad, el MSRC, atribuyó una de las vulnerabilidades a un investigador de Anthropic que utilizó el modelo de IA Claude. Aunque la compañía afirmó que el lanzamiento de hoy no refleja un aumento significativo en los descubrimientos impulsados por IA, la presencia de investigaciones asistidas por esta tecnología es digna de mención.
Además del exploit activo, otro error, el CVE-2026-33825, ya era de conocimiento público en el momento del lanzamiento de la actualización.
