Microsoft corrige un fallo de confusión de tipos en Edge que permite ejecutar código de forma remota

Qué ha pasado

Microsoft ha publicado hoy, 27 de octubre de 2026, un aviso en su Security Update Guide sobre la vulnerabilidad CVE-2026-62765 en Microsoft Edge (basado en Chromium). Se trata de un fallo de type confusion (confusión de tipos): el navegador accede a un recurso tratándolo como si fuera de un tipo distinto al real, lo que puede corromper la memoria.

Según la descripción de Microsoft, un atacante sin autorización podría aprovechar el fallo para ejecutar código a través de la red. La información procede del aviso del fabricante; NVD todavía no ha publicado la ficha de esta CVE.

Gravedad y estado de la explotación

La vulnerabilidad tiene una puntuación CVSS 7.5 (alta). El vector indica que se puede atacar por red y sin credenciales previas, pero que la explotación tiene una complejidad alta y requiere alguna interacción por parte del usuario, lo que reduce algo el riesgo frente a fallos que se aprovechan sin intervención de la víctima. Si se logra, el impacto sobre la confidencialidad, la integridad y la disponibilidad del equipo sería alto.

Por ahora no consta en el catálogo KEV de CISA, por lo que no hay confirmación de explotación activa, y no se conoce ningún exploit público. Al tratarse de una CVE recién publicada, FIRST aún no le ha asignado una puntuación EPSS.

A quién afecta

Afecta a Microsoft Edge en su versión basada en Chromium, el navegador incluido por defecto en Windows y muy extendido en entornos corporativos. Los datos disponibles no detallan qué versiones concretas están afectadas ni cuál es la versión corregida: hay que consultarlo en el aviso de Microsoft.

Qué hacer

Aunque no hay indicios de ataques, los navegadores son una puerta de entrada habitual y conviene actuar con rapidez dentro del ciclo normal de actualizaciones.

• Consultar el aviso de Microsoft para CVE-2026-62765 y comprobar la versión de Edge que corrige el fallo.
• Verificar que Edge se actualiza en todos los equipos, incluidos los gestionados mediante políticas que puedan retrasar o bloquear las actualizaciones automáticas.
• Usar la herramienta de gestión de parches o de inventario para identificar equipos con versiones de Edge desactualizadas.
• Recordar a los usuarios que reinicien el navegador cuando se les solicite, ya que la actualización no se aplica hasta entonces.
• Vigilar si cambia el estado de la vulnerabilidad (inclusión en KEV o aparición de exploits) para elevar la prioridad si fuera necesario.

Fuentes

• Microsoft MSRC: CVE-2026-62765

Tecnologías afectadas

Vulnerabilidades (1)