Aviso de seguridad de Microsoft CVE-2026-96222 - Vulnerabilidad de suplantación de identidad en .NET
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en System.Security.Cryptography.Xml.
KeyInfoX509Data puede aceptar formatos de certificados serializados que contienen metadatos de cadena controlados por un atacante en lugar de requerir un certificado X.509 estándar, lo que facilita rutas de falsificación de certificados y suplantación de tokens.
Anuncio
El anuncio de este problema se encuentra en https://github.com/dotnet/announcements/issues/474.
Detalles de CVSS
- Versión: 3.1
- Gravedad: Alta
- Puntuación: 7.4
- Vector:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N - Debilidad: CWE-295 (Validación incorrecta de certificados)
Plataformas afectadas
- Plataformas: Windows, Linux, macOS
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a los proyectos de Microsoft .NET que utilizan alguna de las siguientes versiones:
| Nombre del paquete | Versión afectada | Versión corregida |
|---|---|---|
| System.Security.Cryptography.Xml) | >= 8.0.0, <= 8.0.4 | 8.0.5 |
Preguntas frecuentes (FAQ)
¿Cómo sé si estoy afectado?
Si utiliza una versión indicada en la tabla de paquetes afectados, se encuentra expuesto a la vulnerabilidad.
¿Cómo soluciono el problema?
-
Para solucionarlo, instale la versión más reciente de .NET. Si instaló uno o varios SDK de .NET a través de Visual Studio, el sistema le solicitará actualizarlo, lo que también actualizará los SDK.
-
Si la aplicación hace referencia al paquete vulnerable, actualice la referencia a la versión parcheada. Puede comprobar las versiones instaladas con el comando
dotnet --info.
Tras instalar el entorno de ejecución o SDK actualizado, reinicie sus aplicaciones para que el cambio surta efecto.
Asimismo, si ha desplegado aplicaciones independientes) orientadas a versiones afectadas, estas también son vulnerables y deben recompilarse y desplegarse nuevamente.
Otra información
Notificación de problemas de seguridad
Si detecta un problema de seguridad en una versión admitida de .NET, infórmelo al Microsoft Security Response Center (MSRC) mediante el Portal de investigadores de MSRC.). Consulte más información en el FAQ sobre notificación de problemas de MSRC.).
Los reportes calificados pueden optar al programa Microsoft .NET Bounty; consulte los términos en https://aka.ms/corebounty..
Soporte
Puede consultar dudas en GitHub dentro de la organización de .NET. Los repositorios principales están en https://github.com/dotnet/runtime.. El repositorio de anuncios (https://github.com/dotnet/Announcements)) contiene este boletín en una incidencia con enlace al hilo de discusión.
Descargo de responsabilidad
La información provista en este aviso se ofrece «tal cual» sin garantía de ningún tipo. Microsoft renuncia a toda garantía expresa o implícita.
Enlaces externos
Agradecimientos
- Vaisha Bernard de Eye Security
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
Para corregir la vulnerabilidad:
- Instale la versión más reciente de .NET o actualice Visual Studio para actualizar los SDK y el entorno de ejecución.
- Actualice la dependencia de
System.Security.Cryptography.Xmla la versión 8.0.5 o superior. - Reinicie las aplicaciones una vez aplicada la actualización.
- Recompile y vuelva a desplegar las aplicaciones independientes dirigidas a las versiones afectadas.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 8.0.0, < 8.0.5 | 8.0.5 |
Referencias
- https://github.com/dotnet/runtime/security/advisories/GHSA-vrv5-2jg9-4mmr
- https://github.com/dotnet/announcements/issues/474
- https://github.com/dotnet/runtime/issues/135705
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-96222
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96222
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N- Debilidad (CWE)
CWE-295- Plataforma
- .NET (NuGet)
- Paquete
System.Security.Cryptography.Xml- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-vrv5-2jg9-4mmr - CC BY 4.0
Historial de vulnerabilidades: System.Security.Cryptography.Xml
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 14
- Primera → última
- 10.2018 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 13
- Media 1
Divulgaciones por año
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Aviso de seguridad de Microsoft CVE-2026-96222 - Vulnerabilidad de suplantación de identidad en .NET esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.