Microsoft corrige cinco vulnerabilidades graves en Edge y una escalada de privilegios en ASP.NET Core
Microsoft ha publicado seis vulnerabilidades de gravedad alta: cinco en el navegador Edge basado en Chromium, cuatro de ellas con posible ejecución remota de código, y una escalada de privilegios local en ASP.NET Core. Afectan a cualquier organización que use Edge en sus equipos o despliegue aplicaciones con ASP.NET Core.
Qué ha pasado
Microsoft ha publicado hoy, 29 de octubre de 2026, seis avisos de seguridad en su guía de actualizaciones (MSRC). Los datos proceden de esos avisos; NVD todavía no ha publicado estas vulnerabilidades.
Cinco afectan a Microsoft Edge (basado en Chromium) y tienen una puntuación CVSS 8.8. Cuatro permiten a un atacante sin autenticar ejecutar código a través de la red: CVE-2026-85890, una doble liberación de memoria (double free), y CVE-2026-85897, CVE-2026-96198 y CVE-2026-96199, tres desbordamientos de búfer en el heap. La quinta, CVE-2026-96196, se debe a una lista incompleta de entradas no permitidas y permite el bypass de una función de seguridad del navegador.
La sexta, CVE-2026-114148 (CVSS 7.8), afecta a ASP.NET Core: unos permisos predeterminados incorrectos permiten a un atacante que ya tenga acceso autenticado al sistema elevar sus privilegios localmente.
A quién afecta
Según la información de Microsoft, los fallos de Edge afectan a la versión basada en Chromium del navegador, presente por defecto en Windows y habitual también en otros sistemas. En todos los casos el ataque requiere interacción del usuario, lo que normalmente implica visitar una página web manipulada o abrir un contenido preparado por los atacantes.
El fallo de ASP.NET Core afecta a servidores y equipos donde se ejecutan aplicaciones con este framework. Para explotarlo, el atacante necesita acceso local con una cuenta de bajos privilegios.
Los datos disponibles no detallan las versiones afectadas ni las versiones corregidas de ninguno de los dos productos, por lo que conviene consultar cada aviso de Microsoft.
Estado de la explotación
Ninguna de las seis vulnerabilidades figura en el catálogo KEV de CISA, es decir, no hay confirmación de explotación activa. No se conoce ningún exploit público para los fallos de Edge.
En el caso de CVE-2026-114148 hay pruebas de concepto publicadas en GitHub. No están verificadas y no se puede afirmar que funcionen, pero su existencia aumenta el riesgo y hace aconsejable no retrasar la actualización.
Qué hacer
Aunque no hay explotación confirmada, la gravedad de los fallos de Edge y la facilidad del vector de ataque justifican actuar con prioridad.
- Actualizar Microsoft Edge en todos los equipos y comprobar que la actualización automática está activa y se ha aplicado (en edge://settings/help o desde la consola de gestión corporativa).
- Revisar en los avisos de Microsoft las versiones corregidas de Edge y de ASP.NET Core antes de dar por cerrado el despliegue.
- Actualizar ASP.NET Core en servidores y entornos de desarrollo, priorizando los sistemas compartidos o con muchas cuentas de usuario.
- Revisar quién tiene acceso local a los servidores que ejecutan aplicaciones ASP.NET Core y limitarlo a lo imprescindible.
- Recordar a los usuarios que extremen la precaución con enlaces y páginas de origen dudoso hasta completar la actualización.
Fuentes
Tecnologías afectadas
Vulnerabilidades (6)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-85890 | Alta (8.8) | — | 29/10/2026 | Analizada |
| CVE-2026-85897 | Alta (8.8) | — | 29/10/2026 | Analizada |
| CVE-2026-96196 | Alta (8.8) | — | 29/10/2026 | Analizada |
| CVE-2026-96198 | Alta (8.8) | — | 29/10/2026 | Analizada |
| CVE-2026-96199 | Alta (8.8) | — | 29/10/2026 | Analizada |
| CVE-2026-114148 | Alta (7.8) | — | 29/10/2026 | Pendiente de análisis |
Reciba los avisos
Vulnerabilidades relevantes, víctimas notorias de ransomware, grupos nuevos y el boletín semanal, en cuanto se publican.
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.