Alerta de seguridad: CVE-2026-21509 amenaza a Microsoft Office y exige parches de emergencia

Microsoft ha publicado esta semana actualizaciones de seguridad fuera de calendario para corregir una vulnerabilidad de gravedad alta en Microsoft Office que ya está siendo explotada en ataques. La falla, registrada como CVE-2026-21509, afecta a varias ediciones de Office, entre ellas Microsoft 365 Apps for Enterprise y las versiones LTSC más recientes, y obliga a actuar con rapidez a administradores y usuarios por igual. Para la descripción oficial de la vulnerabilidad puede consultarse la guía de Microsoft: MSRC – CVE-2026-21509, y para un resumen independiente del registro de vulnerabilidades está disponible la ficha en el NVD: NVD – CVE-2026-21509.

La compañía define el fallo como una omisión de una medida de seguridad en Office que permite a un atacante local, no autenticado, eludir protecciones diseñadas para mitigar riesgos asociados a controles COM/OLE vulnerables. En la práctica, el vector de explotación observado requiere que el atacante convenza a la víctima para que abra un archivo malicioso de Office; Microsoft señala que el panel de vista previa no es el punto de entrada, pero sí se han registrado ataques de baja complejidad que requieren interacción del usuario.

Microsoft ya ha liberado parches de emergencia para varias ediciones administradas por su servicio en la nube y para las versiones LTSC recientes, pero ha reconocido que aún no hay actualizaciones disponibles para Office 2016 y Office 2019 y que trabajará para publicarlas lo antes posible. Mientras tanto, la empresa ha propuesto una medida de mitigación basada en el Registro de Windows que puede reducir la posibilidad de explotación en esos entornos, aunque las instrucciones oficiales resultan, para muchos administradores, confusas.

Si trabaja con Office 2016 o 2019 y no puede aplicar un parche inmediato, Microsoft recomienda cerrar todas las aplicaciones de Office y realizar una copia de seguridad del Registro antes de cualquier modificación —editar el Registro incorrectamente puede dejar el sistema inestable—; Microsoft explica cómo hacerlo en su guía: Cómo hacer copia de seguridad y restaurar el Registro de Windows. La mitigación propuesta consiste en crear o verificar la existencia de una rama específica bajo la clave Common de Office, añadir la subclave llamada {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B} dentro de COM Compatibility y, en esa subclave, crear un valor DWORD (32 bits) llamado Compatibility Flags con los datos 400. Tras guardar los cambios, la protección entraría en vigor al reiniciar cualquier aplicación de Office.

Repetirlo en palabras sencillas: cierre todas las aplicaciones de Office, haga copia de seguridad del Registro, abra el Editor del Registro (regedit), navegue hasta la ruta correspondiente a su instalación (la ruta varía si tiene Office de 32 o 64 bits y si es Click-to-Run), cree la llave COM Compatibility bajo Common si no existe, agregue la clave con el identificador indicado y dentro de ella cree el DWORD Compatibility Flags con el valor 400. Si no se siente cómodo realizando cambios en el Registro, lo responsable es esperar al parche oficial o pedir asistencia técnica.

Microsoft no ha publicado detalles técnicos sobre quién descubrió la vulnerabilidad ni sobre la forma precisa en que se explota en la naturaleza, y ha limitado la información destinada a evitar que se multipliquen ataques oportunistas. Esto aumenta la importancia de aplicar actualizaciones en cuanto estén disponibles y de adoptar medidas preventivas adicionales: evitar abrir documentos de remitentes desconocidos, desactivar macros cuando no sean necesarias, y exigir controles de seguridad en los canales de correo y mensajería que llegan a usuarios finales.

El contexto reciente es relevante: en el Patch Tuesday de enero de 2026 Microsoft remendó más de cien fallos, incluyendo varios días cero activos que estaban siendo explotados. Además, en las últimas semanas la compañía ha tenido que publicar otros parches fuera del calendario regular para corregir problemas derivados de esas actualizaciones, lo que subraya lo dinámico y crítico del panorama actual de seguridad. Para seguir las notas de seguridad y actualizaciones puede consultarse el centro de actualizaciones de Microsoft: Microsoft Security Update Guide.

En resumen: si su organización utiliza Microsoft 365 Apps for Enterprise o las versiones LTSC que ya recibieron el parche, aplique la actualización cuanto antes. Si depende de Office 2016 o 2019, haga una copia de seguridad y, si decide aplicar la mitigación mediante el Registro, siga los pasos con atención o delegue la tarea a personal de TI. Sea cual sea su situación, actúe con cautela ante ficheros inesperados y espere instrucciones y parches adicionales por parte de Microsoft.