Microsoft corrigió CVE-2026-72990, un desbordamiento de búfer basado en heap (CWE-122) en el Servicio Biométrico de Windows que, según la propia clasificación de Microsoft, permite a un atacante autorizado elevar privilegios de forma local. El fallo afecta a Windows 10 (1607, 1809, 21H2 y 22H2) y Windows 11 (23H2, 24H2, 25H2 y 26H1), y tiene un CVSS de 7.8, es decir, impacto alto pero requiere acceso previo al equipo.
El CSIRT Nacional de Chile emitió una alerta de vulnerabilidad crítica en el marco del Patch Tuesday de septiembre de 2026, por lo que conviene priorizar la actualización en equipos con Windows 10 y 11, especialmente en infraestructura crítica. La probabilidad de explotación real en los próximos 30 días es baja (EPSS 0,3%), pero al ser una escalada de privilegios local el riesgo aumenta en entornos donde un atacante ya tenga una sesión de usuario.
| CVE | CVE-2026-72990 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.8 / 10 |
| EPSS | 0.3% en 30 días (percentil 24) |
| CWE | CWE-122, CWE-190 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |