El fundador de Binance, Zhao Changpeng, reenvía una advertencia sobre la vulnerabilidad CVE-2026-83844 de Paint de Windows y llama a actualizar el sistema operativo de inmediato

Cripto Circle (120btc.CoM): A las 15:19, hora de Beijing, del 7 de noviembre, el cofundador de Binance, Zhao Changpeng (CZ), reenvió en la plataforma social X una grave advertencia de seguridad sobre un componente central del sistema operativo de Microsoft. La alerta se dirige a la aplicación de dibujo de Windows (Microsoft Paint), que presenta un defecto de ejecución remota de código de alto riesgo. En su tweet, Zhao Changpeng envió un aviso directo a la comunidad sobre la protección de los activos criptográficos, señalando claramente que "el software de aplicación no puede protegerte de las vulnerabilidades del sistema operativo, por favor actualiza tu sistema operativo de inmediato".

El origen de la alerta que ha despertado la preocupación en toda la industria proviene de un informe de monitoreo publicado por la agencia de seguimiento de delitos cibernéticos y de inteligencia de la dark web, Dark Web Informer, en la mañana del 6 de noviembre, hora de Beijing. Los detalles técnicos revelados en el informe indican:

• Clasificación de riesgo en un nivel alto: La vulnerabilidad ha sido oficialmente asignada el número CVE-2026-83844, con una puntuación máxima de 8.1 en el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS), lo que la clasifica en el nivel de alto riesgo en evaluaciones de seguridad comunes;

• No se requiere interacción externa para la explotación: Monitoreos iniciales indicaron que los atacantes externos no autenticados pueden llevar a cabo ataques sin necesidad de inducir a los operadores en el dispositivo objetivo a realizar ninguna acción previa, pudiendo infiltrarse a través de la red y ejecutar código malicioso de forma remota;

• Ampliación significativa del rango de versiones expuestas: La inteligencia inicial consideraba que el rango de software afectado era anterior a la versión 11.2605.91.0, pero la posterior revisión técnica oficial desmintió esta estimación optimista.

De hecho, desde el 5 de noviembre, Zhao Changpeng ha hecho al menos cuatro declaraciones públicas sobre el refuerzo de la seguridad de los dispositivos finales en la plataforma social. El 5 de noviembre, al reenviar una advertencia sobre la vulnerabilidad del paquete malicioso DarkSword en iOS de la agencia de seguridad SlowMist, pidió brevemente a los usuarios que mantuvieran sus dispositivos móviles actualizados; al día siguiente, en una publicación, abordó aún más la responsabilidad en las finanzas descentralizadas, afirmando que ningún software de billetera puede reparar el sistema operativo en el nivel subyacente, la autogestión significa autocontratarse, elevando la protección de los dispositivos personales como el primer principio de seguridad de los activos.

Archivo técnico de corrección de vulnerabilidades de Microsoft

Frente a la continua evolución de la inteligencia sobre amenazas externas, el Centro de Respuesta de Seguridad de Microsoft (MSRC) ha llevado a cabo revisiones dinámicas del archivo técnico de la vulnerabilidad. Según los registros oficiales, la vulnerabilidad fue registrada por primera vez durante la ventana de actualización de seguridad mensual el 13 de octubre, hora del este de EE. UU. (correspondiente al 14 de octubre, hora de Beijing). En términos de clasificación técnica subyacente, la vulnerabilidad pertenece a la clásica lectura fuera de límites (CWE-125), donde el programa lee de manera anormal datos sensibles en caché que exceden los límites de memoria preconfigurados durante la programación de procesos.

El 6 de noviembre, hora del este de EE. UU., Microsoft realizó correcciones significativas en la guía de reparación de la vulnerabilidad:

• Aumento de los requisitos de versión base para el parche: Microsoft confirmó que la base de defensa 11.2605.91.0 citada anteriormente no es completa, y los usuarios deben actualizar la aplicación de Paint a la versión 11.2609.401.0 para cerrar completamente el canal de lectura anómala de memoria;

• Cobertura total de las ramas de lanzamiento anteriores: La base de datos oficial de CVE también corrigió el alcance de los productos afectados, aclarando que todas las versiones anteriores a 11.2609.401.0 son potencialmente vulnerables;

• Fortalecimiento de la automatización de actualizaciones: La ruta de reparación oficial solo puede distribuirse a través de la tienda de aplicaciones Microsoft Store, y Microsoft recomienda encarecidamente a los usuarios que verifiquen manualmente la versión del software local o confirmen que el canal de actualización automática de la tienda de aplicaciones esté habilitado.

Vector de ataque con penetración extrema

Desde la estructura del vector subyacente, los indicadores de CVSS delinean un aspecto de alta penetración de la vulnerabilidad: su vector de ataque está marcado como acceso a la red (AV:N), y el proceso de explotación no requiere ningún permiso previo ni interacción del usuario (PR:N y UI:N). Microsoft, en sus aclaraciones adicionales, señala que los atacantes pueden enviar paquetes de datos especialmente construidos a los procesos de servicio afectados a través de la red, y si la desestructuración de la memoria falla, podrían obtener el control para ejecutar cualquier instrucción en la máquina objetivo.

Sin embargo, en cuanto a la dificultad práctica de la explotación, los estándares de evaluación presentan divergencias multidimensionales:

• Dependencia de condiciones de penetración personalizadas: Microsoft clasifica la complejidad del ataque como alta (AC:H), señalando que los atacantes deben tener un conocimiento extremadamente profundo de la disposición de la memoria y el entorno de ejecución del sistema objetivo, y la efectividad del ataque depende en gran medida de la topología de la red, la configuración del sistema anfitrión y otras estrategias de defensa periféricas;

• Discrepancia en la calificación de gravedad: La calificación de gravedad interna de Microsoft se define como "importante", un nivel inferior al "crítico" utilizado por las agencias de inteligencia de amenazas de terceros, y el modelo oficial predice que la probabilidad de que esta vulnerabilidad sea ampliamente utilizada como arma en entornos de producción es baja;

• La exposición de los terminales plantea un desafío estructural para la seguridad autogestionada: A pesar de las fricciones técnicas, dado que las billeteras descentralizadas dependen completamente del mecanismo de aislamiento de memoria del sistema operativo local para calcular y almacenar claves privadas, una vez que los componentes nativos del sistema operativo enfrentan inyecciones de código, la lógica de cifrado de las frases de recuperación en la capa de aplicación se verá directamente amenazada de ser eludida.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.