Aviso de seguridad de Microsoft CVE-2026-70007 - Vulnerabilidad de ejecución remota de código en .NET y Visual Studio

Resumen ejecutivo

Microsoft ha publicado este aviso de seguridad para informar sobre una vulnerabilidad en Microsoft.WindowsDesktop.App.Runtime (WPF). Un bytecode de sombreador de píxeles (pixel-shader) de WPF especialmente diseñado puede desincronizar los dos pases de análisis en CPSTrans::Initialize, provocando escrituras o lecturas fuera de los límites del montículo (heap).

Anuncio

El anuncio de este problema se encuentra en https://github.com/dotnet/announcements/issues/450.

Detalles de CVSS

• Versión: 3.1
• Gravedad: Alta
• Puntuación: 8.8
• Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
• Debilidad: CWE-787 (Escritura fuera de límites)

Plataformas afectadas

• Plataformas: Windows
• Arquitecturas: Todas

Paquetes afectados

La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones de paquetes indicadas a continuación:

Preguntas frecuentes del aviso

¿Cómo sé si estoy afectado?

Si utiliza alguno de los paquetes enumerados en la tabla de paquetes afectados, su aplicación está expuesta a la vulnerabilidad.

¿Cómo soluciono el problema?

• 1. Para corregir el problema, instale la versión más reciente de .NET. Si instaló uno o más SDK de .NET a través de Visual Studio, este le solicitará que actualice Visual Studio, lo que también actualizará los SDK de .NET.
• 2. Si su aplicación hace referencia a un paquete vulnerable, actualice la referencia a la versión corregida. Puede listar las versiones instaladas ejecutando el comando dotnet --info.

Una vez instalado el runtime o SDK actualizado, reinicie sus aplicaciones para aplicar el cambio.

Asimismo, si ha implementado aplicaciones autocontenidas) basadas en las versiones afectadas, estas también son vulnerables y deben recompilarse e implementarse nuevamente.

Otra información

Notificación de problemas de seguridad

Si ha encontrado un posible problema de seguridad en una versión compatible de .NET, infórmelo al Centro de Respuesta de Seguridad de Microsoft (MSRC) a través del Portal de Investigadores de MSRC.). Puede encontrar más información en las Preguntas frecuentes sobre cómo notificar un problema de MSRC.).

Los informes de seguridad enviados a través del MSRC pueden ser elegibles para el programa Microsoft .NET Bounty. Los detalles y términos del programa están disponibles en https://aka.ms/corebounty..

Soporte

Puede realizar consultas sobre este tema en GitHub dentro de la organización de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime.. El repositorio de anuncios (https://github.com/dotnet/Announcements)) contiene este boletín en formato de incidencia e incluye un enlace al hilo de discusión correspondiente.

Descargo de responsabilidad

La información proporcionada en este aviso se ofrece "tal cual", sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un fin determinado. En ningún caso Microsoft Corporation o sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios comerciales o daños especiales.

Enlaces externos

• CVE-2026-70007)

Agradecimientos

• phrolo7a
• Muhammad Abdul Rehman
• SOMESH SONUNE
• Matheus Siqueira
• thegoldmandm
• Aobo Wang (@m4x_1997)
• Mateusz Gierblinski con Curios (https://curios-it.eu/))
• m0ssser (https://m0ssser-portfolio.pages.dev/))
• Alex Hannah

Revisiones

V1.0 (10/13/2026): Aviso publicado.