El fundador de Binance, Zhao Changpeng, reenvía la advertencia sobre la vulnerabilidad CVE-2026-83844 de Microsoft Paint y llama a actualizar el sistema operativo de inmediato

Cripto Circle (120btc.CoM): A las 15:19 hora de Beijing del 7 de noviembre, el cofundador de Binance, Zhao Changpeng (CZ), reenvió en la plataforma social X una grave advertencia de seguridad sobre componentes centrales del sistema operativo de Microsoft. La alerta apunta a un defecto de ejecución remota de código de alto riesgo en el programa de dibujo de Windows (Microsoft Paint) integrado en el sistema. En su tweet, Zhao Changpeng emitió una advertencia clara a la comunidad sobre la protección de los activos criptográficos, señalando que "el software de aplicación no puede protegerte de las vulnerabilidades del sistema operativo, por favor actualiza tu sistema operativo de inmediato".

El origen de la alerta que ha generado preocupación en toda la industria proviene de un informe de monitoreo publicado por la agencia de seguimiento de cibercriminales e inteligencia de la dark web, Dark Web Informer, en la mañana del 6 de noviembre, hora de Beijing. Los detalles técnicos revelados en el informe indican:

• Clasificación de riesgo en un nivel alto: La vulnerabilidad ha sido oficialmente asignada el número CVE-2026-83844, con una puntuación máxima de 8.1 en el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS), clasificándola como de alto riesgo en evaluaciones de seguridad comunes;

• La explotación no requiere interacción externa: Las primeras observaciones indicaron que los atacantes externos no autenticados pueden iniciar ataques sin necesidad de inducir a los operadores del dispositivo objetivo a realizar ninguna acción previa, pudiendo infiltrarse a través de la red para invocar y ejecutar código malicioso;

• La gama de versiones expuestas se ha ampliado significativamente: Inicialmente se pensaba que el software afectado era solo versiones anteriores a 11.2605.91.0, pero la revisión técnica oficial posterior desmintió esta estimación optimista.

De hecho, desde el 5 de noviembre, Zhao Changpeng ha hablado públicamente al menos cuatro veces sobre el endurecimiento de la seguridad de los dispositivos finales en las redes sociales. El 5 de noviembre, al reenviar una advertencia sobre la vulnerabilidad del paquete malicioso DarkSword en iOS de la agencia de seguridad SlowMist, pidió brevemente a los usuarios que mantuvieran sus dispositivos móviles actualizados; y en una publicación al día siguiente, abordó más a fondo la responsabilidad en las finanzas descentralizadas, afirmando que ningún software de billetera puede reparar el sistema operativo en el nivel subyacente, la autogestión significa autocontratarse, elevando la protección de los dispositivos personales a la primera norma de seguridad de los activos.

Archivo técnico de corrección de vulnerabilidades de Microsoft

Frente a la continua evolución de la inteligencia sobre amenazas externas, el Centro de Respuesta de Seguridad de Microsoft (MSRC) ha revisado dinámicamente el archivo técnico de esta vulnerabilidad. Según los registros oficiales, la vulnerabilidad fue registrada por primera vez durante la ventana de actualización de seguridad mensual el 13 de octubre, hora del este de EE. UU. (correspondiente al 14 de octubre, hora de Beijing). En términos de clasificación técnica subyacente, la vulnerabilidad pertenece a la clásica lectura fuera de límites (CWE-125), donde el programa lee de manera anormal datos sensibles de caché que exceden los límites de memoria configurados previamente durante la programación de procesos.

El 6 de noviembre, hora del este de EE. UU., Microsoft realizó correcciones significativas en la guía de reparación de esta vulnerabilidad:

• Aumento de los requisitos de versión base del parche: Microsoft confirmó que la base de defensa 11.2605.91.0 citada anteriormente no es completa, y los usuarios deben actualizar el programa de dibujo a la versión 11.2609.401.0 para cerrar completamente el canal de lectura de memoria anómala;

• Cobertura total de las ramas de lanzamiento anteriores: La base de datos oficial de CVE corrigió el alcance de los productos afectados el mismo día, aclarando que todas las versiones anteriores a 11.2609.401.0 son potencialmente vulnerables;

• Consolidación de canales para fortalecer las actualizaciones automáticas: La ruta de reparación oficial solo puede distribuirse a través de la tienda de aplicaciones Microsoft Store, y Microsoft recomienda encarecidamente a los usuarios que verifiquen manualmente la versión del software local o confirmen que el canal de actualización automática de la tienda de aplicaciones esté habilitado.

Vector de ataque con extrema penetración

Desde la perspectiva de la estructura del vector subyacente, los indicadores de CVSS delinean un aspecto de alta penetración de esta vulnerabilidad: su vector de ataque está marcado como acceso a la red (AV:N), y el proceso de explotación no requiere ningún permiso previo ni interacción del usuario (PR:N y UI:N). Microsoft, en una aclaración adicional, señaló que los atacantes pueden enviar paquetes de datos especialmente construidos a los procesos de servicio afectados a través de la red, y si la desestructuración de la memoria falla, podrían obtener el control para ejecutar cualquier instrucción en la máquina anfitriona objetivo.

Sin embargo, en cuanto a la dificultad práctica de explotación, los estándares de evaluación presentan divergencias multidimensionales:

• Dependencia de condiciones de penetración personalizadas: Microsoft clasifica la complejidad del ataque de esta vulnerabilidad como alta (AC:H), señalando que los atacantes deben tener un conocimiento extremadamente profundo de la disposición de la memoria subyacente del sistema objetivo y su entorno de ejecución, y la efectividad del ataque depende en gran medida de la topología de la red, la configuración del sistema anfitrión y otras estrategias de defensa periféricas;

• Discrepancia en la calificación de gravedad: La calificación de gravedad interna de Microsoft se clasifica como "importante", un nivel inferior al "crítico" utilizado por las agencias de inteligencia de amenazas de terceros, y el modelo oficial predice que la probabilidad de que esta vulnerabilidad sea ampliamente utilizada como arma en entornos de producción es baja;

• La exposición de los terminales plantea un desafío estructural para la seguridad autogestionada: A pesar de que la explotación técnica presenta fricciones, dado que las billeteras descentralizadas dependen completamente del mecanismo de aislamiento de memoria del sistema operativo local para calcular y almacenar claves privadas, una vez que los componentes nativos del sistema operativo enfrentan inyecciones de código, la lógica de cifrado de las frases de recuperación en la capa de aplicación se verá directamente amenazada por el riesgo de ser eludida.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.