CISA confirma la explotación de una vulnerabilidad de Windows Task Host por bandas de ransomware

18 de agosto de 2026. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha confirmado que grupos de ransomware están explotando CVE-2025-60710, una vulnerabilidad de escalada de privilegios en el componente Windows Task Host. El fallo afecta a dispositivos con Windows 11 y Windows Server 2025 que no hayan instalado la actualización correspondiente.

Windows Task Host es un componente central del sistema operativo que permite ejecutar procesos basados en DLL en segundo plano y ayuda a evitar la corrupción de datos durante el cierre del sistema, asegurando que esos procesos finalicen correctamente. La vulnerabilidad se debe a una debilidad relacionada con el seguimiento de enlaces.

Un atacante que ya disponga de acceso local y de permisos básicos puede explotar el fallo para obtener privilegios SYSTEM. Ese nivel de acceso permite tomar el control completo del dispositivo afectado y realizar acciones con los privilegios más elevados del sistema operativo. El riesgo se concentra en equipos que siguen sin aplicar el parche publicado por Microsoft.

Microsoft corrigió CVE-2025-60710 en sus actualizaciones de seguridad de noviembre de 2025. La compañía ha recomendado instalar ese paquete para mantener los sistemas protegidos y ha señalado que los clientes que ya lo hayan aplicado no necesitan adoptar medidas adicionales.

CISA incorporó la vulnerabilidad a su catálogo Known Exploited Vulnerabilities (KEV) el 13 de abril, después de identificar indicios de explotación activa. En ese momento, la agencia dio a las entidades del poder ejecutivo civil federal estadounidense dos semanas para proteger sus sistemas. En una actualización publicada el viernes, CISA modificó la entrada para indicar que CVE-2025-60710 también está siendo utilizada en ataques de ransomware.

La agencia estadounidense no ha divulgado detalles sobre las campañas, los operadores implicados, los objetivos ni las técnicas empleadas para explotar la vulnerabilidad. Microsoft tampoco había actualizado inicialmente su aviso de seguridad para confirmar la explotación en ataques reales, aunque posteriormente reiteró que el parche de noviembre protege a los sistemas actualizados.

CISA ha advertido de que este tipo de vulnerabilidades constituye un vector habitual para actores maliciosos y puede representar un riesgo significativo para los entornos empresariales y gubernamentales. Su recomendación es aplicar las mitigaciones indicadas por el fabricante, seguir las directrices aplicables de la Binding Operational Directive 22-01 para los servicios en la nube o dejar de utilizar el producto si no existen medidas de protección disponibles.

La alerta se suma a otras advertencias recientes de CISA relacionadas con productos de Microsoft. Una semana antes, la agencia informó de que grupos de ransomware habían comenzado a explotar CVE-2026-45659, una vulnerabilidad de ejecución remota de código en Microsoft SharePoint cuya explotación activa había sido confirmada a comienzos de julio.

Desde noviembre de 2021, CISA ha incluido 383 vulnerabilidades explotadas activamente en productos de Microsoft dentro de su catálogo. De ellas, 112 también han sido utilizadas en ataques de ransomware. Estas cifras reflejan la importancia de priorizar la aplicación de parches en los sistemas expuestos y en aquellos que puedan ser alcanzados por atacantes con credenciales o acceso local.

La información procede de BleepingComputer.

Fuente: BleepingComputer