Aviso de seguridad de Microsoft CVE-2026-87697 - Vulnerabilidad de ejecución remota de código en .NET y Visual Studio
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.WindowsDesktop.App.Runtime (WPF). Este aviso también incluye orientación sobre cómo los desarrolladores pueden actualizar sus aplicaciones para corregir la vulnerabilidad.
Los hipervínculos sintéticos de WPF XPS expuestos mediante automatización de la interfaz de usuario (UI Automation) pueden eludir las comprobaciones restrictivas de navegación y acceder a contenido controlado por el atacante, lo que permite la ejecución remota de código tras la interacción del usuario.
Anuncio
El anuncio sobre este problema se encuentra en https://github.com/dotnet/announcements/issues/471
Detalles de CVSS
- Versión: 3.1
- Gravedad: Alta
- Puntuación: 8.8
- Vector:
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Debilidad: CWE-502 (Deserialización de datos no confiables)
Plataformas afectadas
- Plataformas: Windows
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones de paquetes afectadas indicadas a continuación:
| Nombre del paquete | Versión afectada | Versión corregida |
|---|---|---|
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
Preguntas frecuentes del aviso
¿Cómo sé si estoy afectado?
Si utiliza alguno de los paquetes enumerados en la sección de paquetes afectados, su aplicación está expuesta a la vulnerabilidad.
¿Cómo soluciono el problema?
- Instale la versión más reciente de .NET. Si instaló uno o más SDK de .NET a través de Visual Studio, Visual Studio le solicitará actualizar, lo que también actualizará los SDK de .NET.
- Si su aplicación hace referencia al paquete vulnerable, actualice la referencia a la versión corregida. Puede listar las versiones instaladas ejecutando el comando
dotnet --info.
Una vez instalado el runtime o SDK actualizado, reinicie sus aplicaciones para que surta efecto.
Además, si ha implementado aplicaciones independientes destinadas a cualquiera de las versiones afectadas, estas aplicaciones también son vulnerables y deben recompilarse y reimplementarse.
Otra información
Notificación de problemas de seguridad
Si encuentra un posible problema de seguridad en una versión compatible de .NET, infórmelo al Microsoft Security Response Center (MSRC) a través del Portal de investigadores de MSRC. Puede encontrar más detalles en las Preguntas frecuentes sobre informes de MSRC.
Los informes de seguridad remitidos a través del MSRC pueden optar al programa Microsoft .NET Bounty. Los términos y condiciones se encuentran en https://aka.ms/corebounty.
Soporte
Puede realizar consultas sobre este problema en la organización de GitHub de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime. El repositorio de anuncios (https://github.com/dotnet/Announcements) incluirá este boletín como un issue con un enlace al debate correspondiente.
Descargo de responsabilidad
La información proporcionada en este aviso se ofrece "tal cual", sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un fin determinado. En ningún caso Microsoft Corporation ni sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios comerciales o daños especiales. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuentes o incidentales, por lo que la limitación anterior podría no aplicarse.
Enlaces externos
Agradecimientos
- 41ae55e9310ff27fa6f26af4727e5590
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
Para corregir el problema:
- Instale la versión más reciente de .NET. Si utiliza SDK de .NET mediante Visual Studio, aplique la actualización correspondiente de Visual Studio para actualizar también los SDK.
- Actualice las referencias a paquetes vulnerables hacia las versiones corregidas indicadas. Puede verificar las versiones instaladas con el comando
dotnet --info.
Reinicie las aplicaciones tras la instalación del runtime o SDK actualizado.
Las aplicaciones independientes compiladas sobre versiones afectadas deben volver a compilarse e implementarse.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13 | 9.0.21, 8.0.32, 11.0.0-rc.2, 10.0.13 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13 | 9.0.21, 8.0.32, 11.0.0-rc.2, 10.0.13 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13 | 9.0.21, 8.0.32, 11.0.0-rc.2, 10.0.13 |
Referencias
- https://github.com/dotnet/wpf/security/advisories/GHSA-c27m-942f-rcfh
- https://github.com/dotnet/announcements/issues/471
- https://github.com/dotnet/wpf/issues/12021
- https://github.com/dotnet/wpf
- https://nvd.nist.gov/vuln/detail/CVE-2026-87697
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-87697
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-502- Plataforma
- .NET (NuGet)
- Paquete
Microsoft.WindowsDesktop.App.Runtime.win-arm64, Microsoft.WindowsDesktop.App.Runtime.win-x64, Microsoft.WindowsDesktop.App.Runtime.win-x86- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-c27m-942f-rcfh - CC BY 4.0
Historial de vulnerabilidades: Microsoft.WindowsDesktop.App.Runtime.win-arm64
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 19
- Primera → última
- 12.2022 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 16
- Media 3
Divulgaciones por año
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 15
-
Aviso de seguridad de Microsoft CVE-2026-87697 - Vulnerabilidad de ejecución remota de código en .NET y Visual Studio esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.