CVE-2026-21509highbajo ataqueCWE-807

CVE-2026-21509: fallo de gravedad alta en Microsoft 365 Apps for Enterprise

Microsoft Office Security Feature Bypass Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Microsoft Office+ Monitorear Microsoft 365 Apps

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

93Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene prueba de concepto pública.

ssvc Actcvss 7.8epss 71%
de la publicación al arma1 día
Publicada en NVD26 ene
1ª PoC+1d
CISA KEV26 ene
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-02-16

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Microsoft Office confía en datos no verificados al tomar decisiones de seguridad, permitiendo que alguien con acceso a tu computadora evite protecciones de seguridad integradas. Esto podría permitir que contenido malicioso se ejecute cuando debería bloquearse.

Detalle técnico

Vulnerabilidad CWE-807 en la lógica de decisión de seguridad de Microsoft Office que confía en entrada controlable por el usuario para aplicar políticas de seguridad. Un atacante con acceso local puede manipular entradas para eludir controles de acceso o restricciones de contenido; requiere acceso local pero ignora límites de seguridad previstos.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Reliance on untrusted inputs in a security decision in Microsoft Office allows an unauthorized attacker to bypass a security feature locally.
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
Productos afectados
Microsoft · Microsoft 365 Apps for EnterpriseMicrosoft · Microsoft Office 2016Microsoft · Microsoft Office 2019Microsoft · Microsoft Office LTSC 2021Microsoft · Microsoft Office LTSC 2024
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Microsoft 365 Apps for Enterprise

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-23397CRITICALMicrosoft Outlook Elevation of Privilege VulnerabilityEPSS 97.2%KEVCVE-2024-21413CRITICALMicrosoft Outlook Remote Code Execution VulnerabilityEPSS 94.7%KEVCVE-2021-42292HIGHMicrosoft Excel Security Feature Bypass VulnerabilityEPSS 43.0%KEVCVE-2023-36761MEDIUMMicrosoft Word Information Disclosure VulnerabilityEPSS 19.6%KEVCVE-2023-35311HIGHMicrosoft Outlook Security Feature Bypass VulnerabilityEPSS 15.5%KEVCVE-2023-21715HIGHMicrosoft Publisher Security Feature Bypass VulnerabilityEPSS 12.0%KEV