Microsoft ha lanzado su Patch Tuesday de febrero 2026 con correcciones para 58 vulnerabilidades, incluyendo 6 zero-days que ya estan siendo explotados activamente por hackers. Esto convierte a esta actualizacion en una de las mas criticas del ano, y los expertos recomiendan instalarla inmediatamente.
Tres de las vulnerabilidades zero-day fueron reveladas publicamente antes del parche, lo que significa que los atacantes han tenido tiempo de desarrollar exploits. Si usas Windows, necesitas actualizar ahora.
Las 6 vulnerabilidades zero-day explicadas
1. CVE-2026-21510: bypass de protecciones de Windows Shell
Esta es posiblemente la mas peligrosa. Un atacante puede enviar un enlace malicioso que, con un solo clic, ejecuta codigo sin mostrar ninguna advertencia o dialogo de consentimiento. Bypasea completamente las protecciones de seguridad de Windows Shell.
Riesgo: Muy alto. Puede ser explotada via email, mensajes o sitios web maliciosos.
2. CVE-2026-21513: ataque via MSHTML/Internet Explorer
Afecta al motor MSHTML/Trident de Internet Explorer. Los atacantes pueden crear archivos HTML o accesos directos (.lnk) maliciosos que manipulan el manejo del navegador y Windows Shell. Aunque Internet Explorer esta oficialmente retirado, su motor sigue presente en Windows.
3. CVE-2026-21514: archivos Office maliciosos
Un archivo de Office especialmente crafteado puede evadir las mitigaciones OLE en Microsoft 365. Esto significa que abrir un documento Word o Excel aparentemente inofensivo podria comprometer tu sistema.
4. CVE-2026-21519: escalacion de privilegios via DWM
Una vulnerabilidad en el Desktop Window Manager que permite a los atacantes escalar privilegios a SYSTEM en un equipo ya comprometido. Combinada con otras vulnerabilidades, permite tomar control total del sistema.
5. CVE-2026-21533: escalacion via Remote Desktop
Descubierta por investigadores de CrowdStrike, esta falla en Windows Remote Desktop Services permite a un atacante modificar claves de configuracion de servicio para agregarse al grupo de Administradores.
6. CVE-2026-21525: crash de Remote Access Connection Manager
Permite que un usuario sin privilegios provoque el crash del servicio RasMan, afectando las conexiones VPN y de acceso remoto.
Como actualizar Windows inmediatamente
- Abre Configuracion (Win + I)
- Ve a Windows Update
- Haz clic en Buscar actualizaciones
- Instala todas las actualizaciones disponibles
- Reinicia tu equipo (obligatorio para aplicar los parches de seguridad)
Si usas Windows en una empresa, contacta a tu departamento de TI. Este parche deberia ser desplegado con prioridad de emergencia.
Que mas incluye este Patch Tuesday
Ademas de los 6 zero-days, Microsoft corrigio:
- 5 vulnerabilidades criticas (3 de escalacion de privilegios, 2 de divulgacion de informacion)
- 47 vulnerabilidades adicionales de severidad importante
- Parches para Windows, Office, Edge, .NET, Visual Studio y Azure
Contexto: por que febrero 2026 es alarmante
Con 6 zero-days activamente explotados, febrero 2026 no es un Patch Tuesday tipico. Los expertos de Rapid7, Tenable y CrowdStrike coinciden en que este es un evento de nivel de emergencia que requiere despliegue acelerado.
El mes pasado (enero 2026) Microsoft corrigio "solo" 3 zero-days. El incremento a 6 sugiere una tendencia preocupante en la sofisticacion y frecuencia de los ataques dirigidos a Windows.
