Microsoft avisa de 23 vulnerabilidades en Word, Excel, Outlook y SharePoint que permiten ejecutar código

Qué ha pasado

Microsoft ha publicado hoy, 15 de octubre, 23 nuevas vulnerabilidades en su guía de actualizaciones de seguridad (MSRC). Afectan sobre todo a Word, pero también a Excel, Outlook, SharePoint y Office en general. Se suman al fallo de escalada de privilegios en SharePoint (CVE-2026-88164) del que informamos el 14 de octubre. Todos los datos proceden de los avisos del fabricante; NVD todavía no ha publicado ninguna de estas CVE.

La mayoría son errores de gestión de memoria con una puntuación CVSS 8.8 que permiten a un atacante sin credenciales ejecutar código a través de la red. Según su vector de ataque, necesitan que el usuario realice alguna acción, como abrir un archivo manipulado.

• Word, desbordamiento de búfer en el heap (CVSS 8.8): CVE-2026-108426, CVE-2026-108427, CVE-2026-108428, CVE-2026-108429, CVE-2026-108430, CVE-2026-108432, CVE-2026-108437, CVE-2026-108439, CVE-2026-108441, CVE-2026-108447, CVE-2026-108449 y CVE-2026-108450.
• Word, desbordamiento de búfer en la pila (CVSS 8.8): CVE-2026-108431, CVE-2026-108440 y CVE-2026-108445.
• Word, otros errores de memoria con ejecución de código (CVSS 8.8): uso de memoria liberada (CVE-2026-108442), error de desplazamiento en uno (CVE-2026-108443) y truncamiento numérico (CVE-2026-108451).
• Office, ejecución remota de código sin más detalle técnico (CVSS 8.8): CVE-2026-108444.
• Excel, uso de memoria liberada (CVSS 8.8): CVE-2026-108446.
• SharePoint, recorrido de directorios (path traversal) que permite a un usuario autenticado ejecutar código (CVSS 8.8): CVE-2026-108452.
• Outlook, desbordamiento de búfer en el heap con ejecución remota de código, de explotación más compleja (CVSS 7.5): CVE-2026-108448.
• Word, elusión local de una función de seguridad por confiar en datos no fiables (CVSS 7.8): CVE-2026-108433.

A quién afecta

Afecta a cualquier organización que utilice Microsoft Office, especialmente Word, y a las que gestionan servidores SharePoint propios. Los avisos consultados no detallan qué versiones concretas están afectadas ni cuáles incluyen la corrección, de modo que hay que revisar la ficha de cada CVE en la guía de MSRC.

El fallo de SharePoint (CVE-2026-108452) merece atención aparte: a diferencia de los de Word, no requiere ninguna acción de la víctima, aunque sí que el atacante disponga de una cuenta con permisos básicos. Es el segundo fallo grave en SharePoint que se conoce en dos días.

Estado de la explotación

Ninguna de las 23 vulnerabilidades figura en el catálogo KEV de CISA, que recoge los fallos con explotación activa confirmada, y no se conoce código de explotación público. Aun así, los fallos de Office que dependen de la interacción del usuario se aprovechan con frecuencia mediante adjuntos en campañas de phishing, por lo que no conviene demorar la actualización.

Qué hacer

Los datos disponibles todavía no detallan las versiones corregidas; el fabricante publica esa información en la ficha de cada CVE. Recomendamos actuar en este orden:

• Consultar en la guía de MSRC las fichas de estas CVE para identificar las versiones afectadas y las actualizaciones disponibles.
• Priorizar los servidores SharePoint, sobre todo si son accesibles desde Internet, y aplicar a la vez la corrección de CVE-2026-88164.
• Desplegar las actualizaciones de Office (Word, Excel y Outlook) en todos los equipos por los canales habituales de gestión de parches.
• Como medida general, recordar a los usuarios que no abran documentos ni adjuntos inesperados y mantener activada la Vista protegida de Office.
• Revisar las cuentas con acceso a SharePoint y retirar las que no sean necesarias.

Fuentes

• Microsoft MSRC: CVE-2026-108452 (SharePoint)
• Microsoft MSRC: CVE-2026-108448 (Outlook)
• Microsoft MSRC: CVE-2026-108446 (Excel)
• Microsoft MSRC: CVE-2026-108444 (Office)
• Microsoft MSRC: CVE-2026-108426 (Word)
• Microsoft MSRC: CVE-2026-108433 (Word)

Tecnologías afectadas

Vulnerabilidades (23)