CVE-2026-21514highbajo ataqueCWE-807

CVE-2026-21514: fallo de gravedad alta en Microsoft 365 Apps for Enterprise

Microsoft Word Security Feature Bypass Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Microsoft Office+ Monitorear Microsoft 365 Apps

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

51Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene alerta oficial del gobierno de Brasil.

ssvc Actcvss 7.8epss 1.6%
de la publicación al arma
Publicada en NVD10 feb
CISA KEV10 feb
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-03-03

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Microsoft Word confía en datos no verificados para tomar decisiones de seguridad, permitiendo que atacantes eludan las protecciones de seguridad en la computadora local. Esto significa que archivos o entradas maliciosas pueden engañar a Word para que ignore sus medidas de protección.

Detalle técnico

Vulnerabilidad CWE-807 en la lógica de decisión de seguridad de Word acepta entrada no confiable sin validación adecuada, permitiendo que atacantes locales eludan funcionalidades de protección. Requiere acceso local e interacción con archivo malicioso; el impacto incluye eludir vista protegida y controles de ejecución de macros.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Reliance on untrusted inputs in a security decision in Microsoft Office Word allows an unauthorized attacker to bypass a security feature locally.
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
Productos afectados
Microsoft · Microsoft 365 Apps for EnterpriseMicrosoft · Microsoft Office LTSC 2021Microsoft · Microsoft Office LTSC 2024Microsoft · Microsoft Office LTSC for Mac 2021Microsoft · Microsoft Office LTSC for Mac 2024
CVEs relacionadas — Microsoft 365 Apps for Enterprise

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-23397CRITICALMicrosoft Outlook Elevation of Privilege VulnerabilityEPSS 97.2%KEVCVE-2024-21413CRITICALMicrosoft Outlook Remote Code Execution VulnerabilityEPSS 94.7%KEVCVE-2026-21509HIGHMicrosoft Office Security Feature Bypass VulnerabilityEPSS 70.8%KEVCVE-2021-42292HIGHMicrosoft Excel Security Feature Bypass VulnerabilityEPSS 43.0%KEVCVE-2023-36761MEDIUMMicrosoft Word Information Disclosure VulnerabilityEPSS 19.6%KEVCVE-2023-35311HIGHMicrosoft Outlook Security Feature Bypass VulnerabilityEPSS 15.5%KEV