El fundador de Binance, Zhao Changpeng, reenvía una advertencia sobre la vulnerabilidad CVE-2026-83844 de Microsoft Paint y llama a actualizar el sistema operativo de inmediato

Cripto Circle (120btc.CoM): El 7 de noviembre a las 15:19 hora de Beijing, Zhao Changpeng (CZ), cofundador de Binance, reenvió en la plataforma social X una grave advertencia de seguridad sobre un componente central del sistema operativo de Microsoft. La alerta se centra en un defecto de ejecución remota de código de alto riesgo en el programa de dibujo de Windows (Microsoft Paint). En su tweet, Zhao Changpeng emitió una advertencia directa a la comunidad sobre la protección de los activos criptográficos, señalando claramente que "el software de aplicación no puede protegerte de las vulnerabilidades del sistema operativo, por favor actualiza tu sistema operativo de inmediato".

El origen de esta alerta que ha despertado la atención de toda la industria es un informe de monitoreo publicado por la agencia de inteligencia sobre cibercriminalidad y la dark web, Dark Web Informer, en la mañana del 6 de noviembre hora de Beijing. Los detalles técnicos revelados en el informe indican:

• Clasificación de riesgo en un nivel alto: La vulnerabilidad ha sido formalmente asignada el número CVE-2026-83844, con una puntuación máxima de 8.1 en el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS), clasificándose como de alto riesgo en evaluaciones de seguridad comunes;

• La explotación no requiere interacción externa: Se indicó en las primeras etapas de monitoreo que los atacantes externos no autenticados pueden llevar a cabo ataques sin necesidad de inducir a los operadores del dispositivo objetivo a realizar ninguna acción previa, pudiendo infiltrarse a través de la red para invocar y ejecutar código malicioso;

• La gama de versiones expuestas se ha ampliado significativamente: La inteligencia inicial consideraba que el software afectado era solo versiones anteriores a 11.2605.91.0, pero la revisión técnica oficial posterior desmintió esta estimación optimista.

De hecho, desde el 5 de noviembre, Zhao Changpeng ha hablado públicamente al menos cuatro veces sobre el endurecimiento de la seguridad de los dispositivos finales en la plataforma social. El 5 de noviembre, al reenviar una advertencia sobre la vulnerabilidad del paquete malicioso DarkSword en iOS por parte de la agencia de seguridad SlowMist, pidió brevemente a los usuarios que mantuvieran sus dispositivos móviles actualizados; y al día siguiente, en una publicación, abordó más a fondo la responsabilidad en las finanzas descentralizadas, afirmando que ningún software de billetera puede reparar el sistema operativo en el nivel subyacente, la autogestión significa autocontratarse, elevando la protección de los dispositivos personales a la primera norma de seguridad para mantener activos.

Archivo técnico de corrección de vulnerabilidades de Microsoft

Frente a la continua evolución de la inteligencia sobre amenazas externas, el Centro de Respuesta de Seguridad de Microsoft (MSRC) ha llevado a cabo revisiones dinámicas del archivo técnico de esta vulnerabilidad. Según los registros oficiales, la vulnerabilidad fue registrada por primera vez durante la ventana de actualización de seguridad mensual el 13 de octubre hora del este de EE. UU. (correspondiente al 14 de octubre hora de Beijing). En términos de clasificación técnica subyacente, la vulnerabilidad pertenece a la clásica lectura fuera de límites (CWE-125), es decir, el programa lee de manera anormal datos sensibles en caché que exceden los límites de memoria configurados previamente durante la programación de procesos.

El 6 de noviembre hora del este de EE. UU., Microsoft realizó correcciones significativas en la guía de reparación de esta vulnerabilidad:

• Aumento de los requisitos de versión base del parche: Microsoft confirmó que la base de defensa 11.2605.91.0 citada anteriormente no es completa, y los usuarios deben actualizar la aplicación de dibujo a la versión 11.2609.401.0 para cerrar completamente el canal de lectura de memoria anómala;

• Cobertura total de las ramas de lanzamiento anteriores: La base de datos oficial de CVE corrigió el alcance de los productos afectados el mismo día, aclarando que todas las versiones por debajo de 11.2609.401.0 son potencialmente vulnerables;

• Consolidación de canales para fortalecer las actualizaciones automáticas: La ruta de reparación oficial solo puede distribuirse a través de la tienda de aplicaciones Microsoft Store, y Microsoft recomienda encarecidamente a los usuarios que verifiquen manualmente la versión del software local o que confirmen que el canal de actualización automática de la tienda de aplicaciones esté habilitado.

Vector de ataque con penetración extrema

Desde la perspectiva de la estructura del vector subyacente, los indicadores de CVSS delinean un aspecto de alta penetración de esta vulnerabilidad: su vector de ataque está marcado como acceso a la red (AV:N), y el proceso de explotación no requiere ningún privilegio previo ni interacción del usuario (PR:N y UI:N). Microsoft señaló en una explicación adicional que los atacantes pueden enviar paquetes de datos especialmente construidos a los procesos de servicio afectados a través de la red, y si la desestructuración de la memoria falla, podrían obtener el control para ejecutar cualquier instrucción de forma remota en la máquina anfitriona objetivo.

Sin embargo, en la dificultad práctica de explotación, los estándares de evaluación presentan divergencias multidimensionales:

• Dependencia de condiciones de penetración personalizadas: Microsoft clasifica la complejidad de ataque de esta vulnerabilidad como alta (AC:H), señalando que los atacantes deben tener un conocimiento extremadamente profundo de la disposición de la memoria y el entorno de ejecución del sistema objetivo, y la efectividad del ataque depende en gran medida de la topología de la red, la configuración del sistema anfitrión y otras estrategias de defensa periféricas;

• Discrepancia en la calificación de gravedad: La calificación de gravedad interna de Microsoft se califica como "importante", un nivel por debajo de la "crítica" utilizada por las agencias de inteligencia de amenazas de terceros, y el modelo oficial predice que la probabilidad de que esta vulnerabilidad sea ampliamente utilizada como arma en entornos de producción es baja;

• La exposición de los terminales plantea un desafío estructural para la seguridad autogestionada: A pesar de que la explotación técnica presenta fricciones, dado que las billeteras descentralizadas dependen completamente del mecanismo de aislamiento de memoria del sistema operativo local para calcular y almacenar claves privadas, una vez que los componentes nativos del sistema operativo enfrentan inyecciones de código, la lógica de cifrado de las frases de recuperación en la capa de aplicación se verá directamente en riesgo de ser eludida.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.