Alerta crítica: Microsoft ha publicado una vulnerabilidad de tipo use-after-free en el cliente OpenSSH integrado en múltiples versiones de Windows 10, Windows 11 y Windows Server. La falla, identificada como CVE-2026-97816, permite a un atacante remoto no autenticado ejecutar código arbitrario en el sistema afectado con privilegios elevados, sin requerir interacción del usuario.
Dada la puntuación CVSS de 9.8 (Crítica) y la facilidad de explotación, se recomienda encarecidamente a los administradores de sistemas aplicar la actualización oficial de Microsoft lo antes posible y revisar las mitigaciones temporales descritas en este artículo.
Resumen ejecutivo
| CVE | CVE-2026-97816 |
|---|---|
| Fabricante | Microsoft |
| Producto | OpenSSH para Windows (integrado en Windows 10, Windows 11 y Windows Server) |
| Fecha de publicación | 13 de octubre de 2026 |
| Severidad | Crítica |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 180 (Crítica) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-97816 es un fallo de tipo use-after-free (uso después de liberar memoria, CWE-416) en la implementación de OpenSSH para Windows. Este tipo de error de memoria se produce cuando un programa continúa utilizando un puntero después de que la memoria a la que apunta ha sido liberada. En este caso, el fallo se encuentra en el componente de OpenSSH que gestiona las conexiones de red.
La descripción oficial de la CVE indica que el problema permite a un atacante no autorizado ejecutar código a través de la red. La combinación de un vector de ataque remoto (AV:N), baja complejidad de explotación (AC:L), ausencia de requisitos de autenticación (PR:N) y la falta de interacción del usuario (UI:N) eleva la puntuación CVSS a 9.8, lo que la clasifica como crítica.
Desde el punto de vista técnico, un atacante podría enviar una secuencia de datos especialmente diseñada a un sistema que ejecute el servicio OpenSSH. Al procesar estos datos, el software liberaría memoria que posteriormente intentaría reutilizar, lo que podría permitir al atacante sobrescribir estructuras de memoria críticas y, finalmente, ejecutar código arbitrario con los privilegios del proceso OpenSSH. Dado que este servicio suele ejecutarse con privilegios elevados en sistemas Windows, el impacto potencial en la confidencialidad, integridad y disponibilidad del sistema es total (C:H/I:H/A:H).
Es importante señalar que la vulnerabilidad afecta al cliente OpenSSH integrado en el sistema operativo, no a una instalación independiente. Esto significa que cualquier sistema Windows con el componente OpenSSH habilitado y expuesto a la red podría ser susceptible a la explotación.
La causa raíz del fallo reside en una gestión incorrecta del ciclo de vida de los objetos en memoria durante el manejo de ciertas operaciones de red. Microsoft ha clasificado el problema bajo la categoría CWE-416, que agrupa los errores de use-after-free, una de las clases de vulnerabilidades más peligrosas en software de red debido a su potencial para la ejecución remota de código.
El aviso oficial de Microsoft, publicado en su portal MSRC, es la fuente principal de información técnica y contiene los detalles sobre las versiones afectadas y las actualizaciones disponibles. Se recomienda consultar dicho aviso para obtener información actualizada sobre parches y cualquier cambio en el estado de la vulnerabilidad.
Productos y versiones vulnerables
Según la información publicada por CVE.org y el fabricante, la vulnerabilidad afecta a múltiples productos de Microsoft. La siguiente tabla resume las versiones afectadas y las versiones corregidas publicadas por el fabricante:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| Windows 10 Version 1809 | 10.0.17763.0 | 10.0.17763.9376 |
| Windows 10 Version 21H2 | 10.0.19044.0 | 10.0.19044.7807 |
| Windows 10 Version 22H2 | 10.0.19045.0 | 10.0.19044.7807 |
| Windows 11 Version 23H2 | 10.0.22631.0 | 10.0.22631.7652 |
| Windows 11 Version 24H2 | 10.0.26100.0 | 10.0.26100.9711 |
| Windows 11 Version 25H2 | 10.0.26200.0 | 10.0.26200.9711 |
| Windows 11 Version 26H1 | 10.0.28000.0 | 10.0.28000.3231 |
| Windows 11 Version 26H2 | 10.0.26300.0 | 10.0.26300.9711 |
| Windows Server 2019 | 10.0.17763.0 | 10.0.17763.9376 |
| Windows Server 2019 (Server Core installation) | 10.0.17763.0 | 10.0.17763.9376 |
| Windows Server 2022 | 10.0.20348.0 | 10.0.20348.5761 |
| Windows Server 2025 | 10.0.26100.0 | 10.0.26100.33650 |
| Windows Server 2025 (Server Core installation) | 10.0.26100.0 | 10.0.26100.33650 |
Se recomienda encarecidamente verificar la versión exacta de los sistemas afectados y aplicar la actualización correspondiente de manera prioritaria.
Impacto y riesgo
La vulnerabilidad CVE-2026-97816 presenta una puntuación CVSS v3.1 de 9.8 (CRÍTICA), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esta métrica refleja un riesgo extremadamente alto por las siguientes razones:
- Vector de ataque (AV:N): La explotación puede realizarse de forma remota a través de la red, sin necesidad de acceso físico o local al sistema.
- Complejidad de ataque baja (AC:L): No se requieren condiciones especiales ni conocimiento avanzado para llevar a cabo el ataque.
- Sin privilegios requeridos (PR:N): Un atacante no autenticado puede explotar la vulnerabilidad sin necesidad de credenciales.
- Sin interacción del usuario (UI:N): No se requiere que un usuario realice ninguna acción para que el ataque tenga éxito.
- Impacto total (C:H/I:H/A:H): La explotación exitosa compromete la confidencialidad, integridad y disponibilidad del sistema por completo.
La causa raíz se clasifica como CWE-416: Use After Free en el componente OpenSSH para Windows. Esta condición de memoria insegura puede ser aprovechada por un atacante para ejecutar código arbitrario en el contexto del servicio comprometido. Dado que OpenSSH es un componente crítico en entornos empresariales para administración remota y transferencia segura de archivos, una explotación exitosa podría permitir el control total del sistema, el movimiento lateral dentro de la red y la exfiltración de datos sensibles.
La puntuación de prioridad asignada por RyzerBot es de 180, lo que indica una urgencia máxima de remediación.
Estado de explotación conocida
Según la información publicada en las fuentes consultadas (NVD y CVE.org), no se ha confirmado explotación activa de esta vulnerabilidad en el momento de la publicación del aviso. La descripción oficial indica que la vulnerabilidad «permite a un atacante no autorizado ejecutar código a través de la red», pero no se ha documentado ningún exploit público o ataque en curso en las referencias incluidas en el contexto.
No obstante, la naturaleza crítica de la vulnerabilidad, su facilidad de explotación y el hecho de que afecte a un componente tan extendido como OpenSSH, hacen altamente probable que se desarrollen exploits funcionales en un corto período de tiempo. Se recomienda aplicar los parches de seguridad de manera inmediata sin esperar a que se confirme la explotación activa.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas para esta vulnerabilidad. El campo enrichment.ioc se encuentra vacío y no se han publicado IOC específicos en las referencias de NVD o CVE.org.
En ausencia de IOC publicados, se recomienda a los administradores de sistemas:
- Revisar los registros de autenticación de OpenSSH en busca de intentos de acceso anómalos o fallidos.
- Monitorizar la actividad de red hacia los puertos utilizados por OpenSSH (generalmente el 22/TCP) para detectar conexiones no autorizadas.
- Verificar la integridad de los binarios de OpenSSH y los archivos de configuración del sistema.
- Revisar los eventos de ejecución de procesos en los sistemas afectados para identificar comportamientos inusuales.
Es importante señalar que estos son consejos generales de monitorización y no IOC específicos confirmados para esta vulnerabilidad.
Cómo comprobar si estás afectado
Para determinar si tu infraestructura está expuesta a CVE-2026-97816, debes verificar dos aspectos fundamentales: la versión del sistema operativo y la versión del componente OpenSSH instalado. La vulnerabilidad afecta a múltiples ediciones de Windows y Windows Server, por lo que la comprobación debe realizarse en todos los sistemas que ejecuten estos productos.
1. Identificar la versión del sistema operativo
El primer paso es conocer la versión exacta de Windows que ejecuta cada equipo. Puedes obtener esta información a través del cuadro de diálogo winver o mediante la consulta de la información del sistema. Las versiones afectadas, según la información publicada por CVE.org, incluyen:
- Windows 10 Version 1809 — versión afectada: 10.0.17763.0
- Windows 10 Version 21H2 — versión afectada: 10.0.19044.0
- Windows 10 Version 22H2 — versión afectada: 10.0.19045.0
- Windows 11 Version 23H2 — versión afectada: 10.0.22631.0
- Windows 11 Version 24H2 — versión afectada: 10.0.26100.0
- Windows 11 Version 25H2 — versión afectada: 10.0.26200.0
- Windows Server 2019 — versión afectada: 10.0.17763.0
- Windows Server 2022 — versión afectada: 10.0.20348.0
- Windows Server 2025 — versión afectada: 10.0.26100.0
Es importante señalar que las versiones exactas que corrigen la vulnerabilidad no han sido publicadas en las fuentes consultadas. Por tanto, cualquier sistema que ejecute las versiones listadas debe considerarse potencialmente vulnerable hasta que se confirme la aplicación de la actualización correspondiente.
2. Verificar la instalación de OpenSSH
La vulnerabilidad reside específicamente en el componente OpenSSH para Windows. Debes comprobar si el servicio OpenSSH Server o Client está instalado y en ejecución en los sistemas afectados. La presencia de este componente incrementa significativamente la superficie de ataque, ya que la explotación se realiza a través de la red.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. En consecuencia, la detección de una posible explotación debe basarse en la monitorización de actividad anómala en los servicios SSH, como conexiones no autorizadas o comportamientos inusuales en el servicio.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es clara: revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Microsoft ha publicado una referencia oficial para esta vulnerabilidad en su portal de actualizaciones, que debes consultar para obtener los detalles técnicos completos y las instrucciones de parcheo.
Dado que la vulnerabilidad tiene una puntuación CVSS de 9.8 (Crítica) y puede ser explotada remotamente sin autenticación, la prioridad de actualización debe ser máxima. El vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H indica que un atacante no necesita credenciales ni interacción del usuario para comprometer la confidencialidad, integridad y disponibilidad del sistema.
Hasta que se aplique la actualización, se recomienda considerar las siguientes medidas temporales:
- Restringir el acceso al servicio SSH únicamente a direcciones IP autorizadas mediante reglas de firewall.
- Deshabilitar el servicio OpenSSH Server si no es estrictamente necesario para las operaciones.
- Monitorizar los registros de eventos del sistema en busca de intentos de conexión anómalos.
Nota importante: Las versiones corregidas exactas no han sido publicadas en las fuentes consultadas. Consulta el aviso oficial de Microsoft para obtener la información de parcheo definitiva.
Checklist para administradores
- ☐ Identificar todos los sistemas Windows en la red que ejecuten versiones afectadas (Windows 10, Windows 11, Windows Server).
- ☐ Verificar si el componente OpenSSH está instalado y en ejecución en cada sistema afectado.
- ☐ Consultar el aviso oficial de Microsoft en MSRC para obtener los detalles del parche.
- ☐ Aplicar la actualización de seguridad publicada por Microsoft en todos los sistemas afectados.
- ☐ Si no es posible actualizar de inmediato, restringir el acceso al servicio SSH mediante firewall.
- ☐ Deshabilitar OpenSSH Server en sistemas donde no sea imprescindible.
- ☐ Revisar los registros de eventos y conexiones SSH en busca de actividad sospechosa.
- ☐ Documentar el estado de parcheo de cada sistema para el seguimiento interno.
- ☐ Establecer un recordatorio para verificar la disponibilidad de actualizaciones adicionales.
Preguntas frecuentes
¿Qué es un «use after free» y por qué es tan grave?
Un use after free (CWE-416) ocurre cuando un programa continúa utilizando un puntero después de que la memoria asociada ha sido liberada. En este caso, la vulnerabilidad en OpenSSH para Windows permite a un atacante no autenticado ejecutar código arbitrario a través de la red, lo que explica la puntuación crítica de 9.8.
¿La vulnerabilidad afecta a todas las versiones de Windows?
No. Según los datos publicados por CVE.org, las versiones afectadas incluyen Windows 10 (1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2) y Windows Server (2019, 2022, 2025). Otras versiones no listadas no se consideran afectadas según las fuentes consultadas.
¿Necesito tener OpenSSH instalado para ser vulnerable?
Sí. La vulnerabilidad reside específicamente en el componente OpenSSH para Windows. Si el componente no está instalado, el sistema no está expuesto a esta vulnerabilidad concreta, aunque siempre es recomendable mantener el sistema actualizado por otras razones de seguridad.
¿Existen exploits públicos disponibles?
No se ha publicado información sobre exploits públicos en las fuentes consultadas. Sin embargo, dada la criticidad y la naturaleza de la vulnerabilidad, se recomienda asumir que los atacantes podrían desarrollar exploits y actuar con la máxima urgencia.
¿La actualización está disponible a través de Windows Update?
La información sobre el canal de distribución del parche no ha sido publicada en las fuentes consultadas. Se recomienda consultar el aviso oficial de Microsoft para obtener instrucciones precisas sobre cómo obtener la actualización.
¿Qué debo hacer si no puedo aplicar el parche inmediatamente?
Si no puedes aplicar la actualización de forma inmediata, implementa medidas compensatorias como restringir el acceso al servicio SSH mediante reglas de firewall, deshabilitar OpenSSH Server si no es necesario, y monitorizar activamente los registros de conexiones SSH.
Fuentes oficiales
Para obtener información actualizada y detallada sobre esta vulnerabilidad, consulta las siguientes fuentes oficiales:
- Microsoft Security Response Center — CVE-2026-97816
- NVD — National Vulnerability Database
- Portal de actualizaciones de Microsoft
Mantente atento a las actualizaciones de estas fuentes, ya que la información puede evolucionar a medida que se disponga de más detalles técnicos o parches adicionales.