Microsoft corrige dos vulnerabilidades graves en Edge que permiten ejecutar código a distancia
Microsoft ha publicado avisos sobre dos fallos de gravedad alta (CVSS 8.8) en su navegador Edge basado en Chromium, CVE-2026-83831 y CVE-2026-85898, que permitirían a un atacante sin autenticar ejecutar código a través de la red. Afectan a las organizaciones que usan Microsoft Edge en sus equipos.
Qué ha pasado
El Microsoft Security Response Center (MSRC) ha publicado hoy, 27 de octubre de 2026, dos avisos sobre vulnerabilidades en Microsoft Edge (Chromium-based). Ambas tienen una puntuación CVSS 8.8, de gravedad alta, y según el fabricante permiten a un atacante no autorizado ejecutar código a través de la red.
Los datos proceden del aviso del fabricante; NVD todavía no ha publicado estas vulnerabilidades, por lo que su ficha técnica podría completarse en los próximos días.
- CVE-2026-83831 (CVSS 8.8): fallo de tipo double free (doble liberación de memoria), un error en la gestión de la memoria del navegador.
- CVE-2026-85898 (CVSS 8.8): fallo de confusión de tipos (type confusion), en el que el navegador accede a un recurso tratándolo como si fuera de un tipo incompatible.
A quién afecta
Afecta a los usuarios y organizaciones que utilizan Microsoft Edge, el navegador de Microsoft basado en Chromium. Los datos disponibles no detallan qué versiones concretas están afectadas ni cuál es la versión corregida, por lo que conviene consultar los avisos de MSRC enlazados.
Según el vector CVSS, el ataque se puede lanzar a distancia, no requiere credenciales ni privilegios previos y es de baja complejidad, pero sí exige la interacción de la víctima, por ejemplo abrir un enlace o visitar una página web preparada por los atacantes. Si tiene éxito, podría comprometer la confidencialidad, la integridad y la disponibilidad del equipo afectado.
Estado de la explotación
Por ahora no consta que ninguna de las dos vulnerabilidades esté siendo explotada activamente: no figuran en el catálogo KEV de CISA y no se conoce ningún exploit público. Al tratarse de fallos recién publicados, FIRST todavía no les ha asignado una puntuación EPSS.
Aun así, los fallos de memoria en navegadores son un objetivo habitual de los atacantes, porque basta con atraer a un usuario a una web maliciosa. Es recomendable no esperar para actualizar.
Qué hacer
La medida principal es asegurarse de que todos los equipos tienen Microsoft Edge actualizado a la última versión disponible, siguiendo las indicaciones de los avisos de Microsoft.
- Consultar los avisos de MSRC de CVE-2026-83831 y CVE-2026-85898 para conocer la versión corregida.
- Comprobar la versión instalada en edge://settings/help y forzar la actualización si no se ha aplicado automáticamente.
- En entornos gestionados, verificar que las políticas de actualización de Edge (Intune, directivas de grupo u otra herramienta) no están bloqueando o retrasando las actualizaciones.
- Reiniciar el navegador tras actualizar: la actualización no se aplica hasta cerrarlo y volver a abrirlo.
- Recordar a los usuarios que extremen la precaución con enlaces recibidos por correo o mensajería hasta completar el despliegue.
Fuentes
Tecnologías afectadas
Vulnerabilidades (2)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-83831 | Alta (8.8) | — | 27/10/2026 | Analizada |
| CVE-2026-85898 | Alta (8.8) | — | 27/10/2026 | Analizada |
Reciba los avisos
Vulnerabilidades relevantes, víctimas notorias de ransomware, grupos nuevos y el boletín semanal, en cuanto se publican.
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.