Microsoft tieneparcheadouna falla de seguridad grave en la aplicación Bloc de notas de Windows 11 que podría permitir a los atacantes ejecutar código dañino simplemente convenciendo a un usuario de hacer clic en un enlace dentro de un archivo Markdown. La compañía resolvió este problema en su actualización del martes de parches de febrero de 2026.
La vulnerabilidad, identificada como CVE-2026-20841, recibió una puntuación de gravedad alta de 8,8. Afectó a la moderna aplicación Bloc de notas distribuida a través deTienda Microsoft. La falla podría permitir a los atacantes ejecutar programas locales o remotos sin activar las advertencias de seguridad normales de Windows.
¿Cuál fue el problema?
El Bloc de notas tradicional alguna vez fue un programa simple para editar texto sin formato. Recientemente, Microsoft agregó compatibilidad con Markdown al Bloc de notas para que los usuarios pudieran ver texto formateado e hipervínculos en los que se puede hacer clic. Desafortunadamente, este cambio amplió la superficie de ataque de la aplicación.
En las versiones afectadas del Bloc de notas, un archivo Markdown malicioso podría contener enlaces manipulados utilizando protocolos no estándar (por ejemplofile:u otros esquemas personalizados). Si un usuario abría ese archivo en el Bloc de notas y hacía clic en el enlace, el Bloc de notas podría iniciar el programa de destino sin previo aviso.
Un atacante remoto necesitaría entregar el archivo a un usuario (por ejemplo, por correo electrónico o descargándolo). El exploit dependía de la interacción del usuario (hacer clic en el enlace) pero aún así podría conducir a la ejecución remota de código con los mismos privilegios que el usuario que había iniciado sesión.
| Aspecto | Detalles |
|---|---|
| ID de vulnerabilidad | CVE-2026-20841 |
| Puntuación de gravedad | 8,8 (alto) |
| Software afectado | Aplicación Bloc de notas de Windows 11 (Microsoft Store) |
| Característica introducida | Representación de Markdown y enlaces en los que se puede hacer clic |
| Método de explotación | El usuario abre un archivo Markdown diseñado y hace clic en un enlace malicioso |
| Impacto | Ejecución remota de código con permisos a nivel de usuario |
| Estado de reparación | Parcheado en la actualización de febrero de 2026 |
| Explotación conocida | No se ha reportado explotación activa |
Entonces, ¿por qué se califica esta cuestión como “8,8”? Bueno, hay múltiples razones:
- Amplio alcance:El Bloc de notas está instalado de forma predeterminada en prácticamente todos los dispositivos con Windows 11, por lo que la cantidad de sistemas potencialmente afectados fue muy grande.
- Truco sencillo:La vulnerabilidad no requirió malware avanzado, solo un archivo Markdown manipulado y un clic.
- Supuesto de confianza:Muchos usuarios de Windows confían en el Bloc de notas como una herramienta básica fuera de línea, por lo que su comportamiento inesperado generó preocupaciones de seguridad.
Cómo Microsoft solucionó el error RCE del Bloc de notas en Windows 11
Microsoft emitió un parche a través de su actualización de seguridad del martes de parches del 10 de febrero de 2026. Esta actualización actualizó el Bloc de notas a una versión fija disponible a través de Microsoft Store.
Después de la solución:
- El Bloc de notas ahora advierte a los usuarios si hacen clic en enlaces que no utilizan protocolos web estándar (
https://ohttps://). - La aplicación bloquea la ejecución directa de protocolos no verificados sin un reconocimiento claro del usuario.
Los usuarios deben asegurarse de que la aplicación Bloc de notas de Microsoft Store esté actualizada a una versión parcheada. Las actualizaciones automáticas de aplicaciones en la configuración de Windows deben estar habilitadas para recibir correcciones rápidamente.
Cómo protegerse
Actualizar primero
- Abra Microsoft Store → Actualizaciones → actualizar el Bloc de notas.
- Habilite las actualizaciones automáticas en la configuración de Windows.
Evite archivos que no sean de confianza
- no abrir
.mdarchivos de fuentes desconocidas. - No haga clic en ningún enlace dentro de un documento de Markdown a menos que confíe en el remitente.
Configuraciones de seguridad
- Abra archivos Markdown solo cuando sea necesario.
- Considere la posibilidad de utilizar texto sin formato o editores de texto confiables que no muestren enlaces.
Enlaces de Markdown y seguridad (notas rápidas)
- Markdown permite enlaces como
[text](URL). - En el Bloc de notas, los enlaces se pueden representar como elementos en los que se puede hacer clic.
- Los atacantes pueden utilizar protocolos inusuales (por ejemplo, file:, smb:, etc.) para apuntar al código ejecutable.
Markdown en sí no es perjudicial. El riesgo provenía de URL ejecutables integradas en un entorno confiable.
Preguntas frecuentes (FAQ)
P: ¿Está afectado el Notepad.exe clásico?
R: No. El Notepad.exe heredado incluido con Windows antes de la versión Store no se ve afectado por esta vulnerabilidad.
P: ¿Necesito actualizar Windows para solucionar este problema?
R: El parche llega tanto a través de Windows Update como de Microsoft Store. Confirme que el Bloc de notas esté actualizado a una versión corregida.
P: ¿Se ha explotado esta vulnerabilidad en la naturaleza?
R: Microsoft y los informes independientes indican que hasta el momento no se conoce ninguna explotación activa.
P: ¿Pueden los atacantes aprovechar esto sin la interacción del usuario?
R: No. El exploit dependía de que un usuario hiciera clic en un enlace malicioso en un archivo Markdown.
P: ¿Debo desactivar Markdown en el Bloc de notas?
R: Desactivar la compatibilidad con Markdown reduce la exposición. Para mayor seguridad, abra solo archivos de texto sin formato o utilice editores confiables sin representación de enlaces.