Alerta cero-day: APT28 explota CVE-2026-21513 en MSHTML para saltar la sandbox y ya hay parche de febrero de 2026

Microsoft solucionó en el parche de febrero de 2026 una vulnerabilidad grave en el motor MSHTML que ya estaba siendo aprovechada en entornos reales, y los indicios apuntan a la posible implicación de APT28, el grupo patrocinado por el Estado ruso conocido por operaciones sofisticadas contra objetivos políticos y militares. El problema, identificado como CVE-2026-21513 (CVSS 8.8), no es una simple falla local: permite que contenido malicioso escape del contexto seguro del navegador y sea ejecutado por el sistema operativo.

En su aviso, Microsoft describió la vulnerabilidad como una falla en las protecciones del MSHTML Framework que podía ser explotada a través de la manipulación de navegación por hipervínculos. El fabricante confirmó además que la falla había sido explotada como un zero-day en ataques reales y agradeció la colaboración de varios equipos de inteligencia y respuesta, incluidos MSTIC y GTIG. Puede consultarse la guía de la corrección en la página oficial de Microsoft: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21513.

Los análisis técnicos publicados por firmas de seguridad muestran cómo el error reside en el módulo encargado de procesar la navegación por enlaces (ieframe.dll). Debido a una validación insuficiente de la URL de destino, entradas controladas por el atacante pueden llegar a rutas de código que invocan la API del sistema encargada de lanzar recursos fuera del navegador, concretamente ShellExecuteExW. Esa invocación permite ejecutar recursos locales o remotos con privilegios del contexto de usuario, anulando así las barreras que normalmente impone la sandbox del navegador.

La táctica observada en la campaña que relacionan con APT28 fue ingeniosa y relativamente simple a la vez: los atacantes prepararon accesos directos de Windows (.LNK) manipulados que incluyen un archivo HTML inmediatamente tras la estructura estándar del LNK. Al abrir ese acceso directo, el comportamiento de manejo del navegador y del Shell de Windows se ve forzado a procesar el contenido incrustado, y mediante iframes anidados y la explotación de múltiples contextos DOM se consigue que zonas de confianza se mezclen con contenido controlado por el atacante. El resultado es un salto de contexto que permite ejecutar código fuera del navegador.

La empresa Akamai, que ha publicado un análisis exhaustivo de la técnica, identificó además un artefacto malicioso subido a VirusTotal el 30 de enero de 2026 que se relaciona con infraestructura atribuida a APT28. Ese patrón encaja con campañas previas del actor y con dominios usados en etapas múltiples de infección; por ejemplo, se ha reportado el uso del dominio wellnesscaremed[.]com en esta operación. El informe de Akamai ofrece detalles técnicos y se puede leer aquí: Akamai - Inside the fix: CVE-2026-21513, y el artefacto identificado aparece en VirusTotal en este enlace: VirusTotal (muestra).

Más allá de la curiosidad técnica, hay dos razones por las que este fallo alarmó a los equipos de seguridad: primero, la capacidad para soslayar marcas de seguridad como el Mark-of-the-Web (MotW) y las configuraciones de seguridad reforzada de Internet Explorer (IE ESC), lo que degrada el contexto de confianza que Windows aplica a archivos descargados o abiertos desde la red; segundo, la vulnerabilidad puede activarse desde cualquier componente que integre MSHTML, no sólo desde accesos directos LNK, por lo que los vectores de entrega son variados y podrían incluir documentos incrustados, páginas web manipuladas o clientes que usen MSHTML embebido. Para entender por qué el MotW importa en estos escenarios, un buen recurso explicativo es este artículo sobre el tema: Red Canary - Mark-of-the-Web bypass, y la información sobre la configuración reforzada de Internet Explorer se encuentra en la documentación de Microsoft: IE ESC - Microsoft Docs.

Si traducimos esto a recomendaciones concretas, la primera y más urgente es instalar los parches oficiales: parchear sistemas Windows afectados por la actualización de febrero 2026 elimina la ventana de explotación conocida y es el paso más efectivo para mitigar el riesgo. Microsoft publicó la corrección y sus detalles técnicos en su centro de respuesta a vulnerabilidades, por lo que los equipos de TI deben priorizar esa actualización: Guía de Microsoft sobre CVE-2026-21513.

En paralelo, las defensas operativas y de detección deberían ajustarse. Conviene restringir la apertura automática de accesos directos (.LNK) y tratar con precaución los archivos HTML recibidos por correo o descargados, endurecer las reglas de filtrado de correo y descarga, y vigilar las conexiones a dominios sospechosos que han aparecido en la campaña. Para equipos de respuesta, revisar telemetría relacionada con llamadas a ShellExecuteExW, procesos que lancen navegadores desde contextos inusuales y cargas útiles encadenadas puede ser útil para detectar compromisos. También es aconsejable comprobar soluciones EDR/AV para detección de muestras similares y validar la existencia de indicadores de compromiso presentes en los informes públicos.

Finalmente, hay que recordar que APT28 no es un actor novel y su modus operandi ha incluido a menudo campañas de spear-phishing y explotación de fallas en productos ampliamente desplegados. Para contextualizar quién es este grupo y por qué su implicación eleva el riesgo, puede consultarse la ficha de actores en la base de MITRE ATT&CK: MITRE ATT&CK - APT28. La colaboración entre equipos de respuesta y empresas de inteligencia fue clave para identificar y corregir la falla antes de que se expandiera, pero la existencia de muestras y dominios vinculados deja claro que la amenaza estuvo activa y que la administración de parches y las buenas prácticas de higiene digital siguen siendo la defensa más fiable.

Si gestionas sistemas Windows, prioriza la actualización, educa a los usuarios para que no abran enlaces ni archivos sospechosos, y coordina con tu equipo de seguridad la búsqueda de señales que indiquen que alguien pudo haber intentado explotar esta vulnerabilidad en tu entorno.