Lo m\u00e1s importante en resumen<\/h2>\n\n- Microsoft hizo p\u00fablico CVE-2026-40372 en ASP.NET Core DataProtection 10.0.0 a 10.0.6 el 22 de abril de 2026 y entreg\u00f3 la correcci\u00f3n en 10.0.7.<\/li>\n
- CVSS 9.1, escalada de privilegios hasta SYSTEM, no requiere autenticaci\u00f3n, explotable a trav\u00e9s de la red.<\/li>\n
- La actualizaci\u00f3n fuera de banda se\u00f1ala la urgencia. Microsoft rara vez publica actualizaciones de esta clase fuera del ciclo regular de Patch Tuesday.<\/li>\n
- Miles de aplicaciones ASP.NET Core se ejecutan en servidores de construcci\u00f3n propia, en im\u00e1genes de contenedor o en pipelines de CI personalizados sin actualizaci\u00f3n autom\u00e1tica.<\/li>\n
- Los equipos de seguridad necesitan un barrido de inventario de 72 horas, seguido de una implementaci\u00f3n prioritaria de parches y rotaci\u00f3n de cookies en aplicaciones especialmente expuestas.<\/li>\n<\/ul>\n
Qu\u00e9 hace esta vulnerabilidad concreta<\/h2>\n
\u00bfQu\u00e9 es CVE-2026-40372?<\/strong> CVE-2026-40372 es una vulnerabilidad de escalada de privilegios en la biblioteca DataProtection de ASP.NET Core, publicada el 22 de abril de 2026 con una puntuaci\u00f3n CVSS de 9.1. Una regresi\u00f3n en las versiones 10.0.0 a 10.0.6 debilita la verificaci\u00f3n de la firma criptogr\u00e1fica. Un atacante puede usar un HMAC todo-ceros para omitir la validaci\u00f3n y, por tanto, falsificar cookies de autenticaci\u00f3n y tokens antifalsificaci\u00f3n. Posteriormente, es posible alcanzar privilegios de SYSTEM en el host de ASP.NET Core. Microsoft ha distribuido la correcci\u00f3n en la versi\u00f3n 10.0.7.<\/p>\nEl mecanismo est\u00e1 bien documentado. ASP.NET Core utiliza DataProtection para el cifrado y firma de cookies. Si la validaci\u00f3n de firma acepta un HMAC todo-ceros, es posible falsificar cualquier cookie. Esto abre la puerta a una omisi\u00f3n de autenticaci\u00f3n. Posteriormente, un atacante puede hacerse con la sesi\u00f3n de un administrador y, a trav\u00e9s de la canalizaci\u00f3n de ASP.NET Core, ejecutar c\u00f3digo con privilegios de SYSTEM. La cadena de escalada es corta, pero el da\u00f1o en aplicaciones de producci\u00f3n es considerable.<\/p>\n
El problema no tanto est\u00e1 en la vulnerabilidad en s\u00ed misma como en su difusi\u00f3n. ASP.NET Core se ejecuta en decenas de miles de aplicaciones empresariales en todos los sectores. Muchas de estas aplicaciones se han migrado a .NET 10 en los \u00faltimos 24 meses sin que se haya revisado la configuraci\u00f3n de DataProtection. Las im\u00e1genes de contenedor con runtime .NET 10 se construyen en pipelines de CI y se despliegan en cl\u00fasteres de Kubernetes, sin una ruta de correcci\u00f3n autom\u00e1tica. Quien no tenga un mecanismo de seguimiento activo para las actualizaciones fuera de ciclo de Microsoft, puede pasar por alto f\u00e1cilmente esta vulnerabilidad.<\/p>\n
\n\n9,1 CVSS<\/div>\nEscalada de privilegios en DataProtection de ASP.NET Core<\/div>\n<\/p><\/div>\n\n10.0.7<\/div>\nVersi\u00f3n del parche, afectadas 10.0.0 a 10.0.6<\/div>\n<\/p><\/div>\n\n22 de abril<\/div>\nActualizaci\u00f3n fuera de ciclo de Microsoft 2026<\/div>\n<\/p><\/div>\n<\/div>\nQu\u00e9 clases de aplicaciones son especialmente cr\u00edticas<\/h2>\n
Tres clases de aplicaciones merecen especial atenci\u00f3n. La primera es la aplicaci\u00f3n web cl\u00e1sica de backend en .NET 10. Quien opera una aplicaci\u00f3n web para clientes en un sector regulado, como banca en l\u00ednea, portales de autoservicio para clientes o procesos de solicitud de seguros, tiene una superficie de ataque directamente expuesta. Aqu\u00ed, el parche deber\u00eda estar en producci\u00f3n en un plazo de 48 horas, con un registro de auditor\u00eda documentado.<\/p>\n
La segunda clase son las API gateways internas y los servicios de capa intermedia. Estas aplicaciones no son directamente accesibles desde Internet, pero tan pronto como un atacante consigue una cabeza de puente en la red interna, la vulnerabilidad se escala r\u00e1pidamente. Quienes no implementan una segmentaci\u00f3n de red estricta deber\u00edan tratar los parches de la misma manera que en las aplicaciones expuestas a Internet. La perspectiva de cumplimiento sobre DORA y NIS2<\/a> explica por qu\u00e9 las aplicaciones internas en sectores regulados deben tratarse de manera similar.<\/p>\nLa tercera clase son las aplicaciones ASP.NET Core m\u00e1s antiguas que se han migrado a .NET 10 en los \u00faltimos 24 meses sin haber verificado la configuraci\u00f3n de DataProtection. Estas aplicaciones a menudo est\u00e1n en estado de mantenimiento y se actualizan con menos frecuencia. Precisamente por eso son un objetivo atractivo. Un inventario de los restos de la migraci\u00f3n deber\u00eda realizarse en paralelo con la implementaci\u00f3n de parches.<\/p>\n
\n\nQu\u00e9 debe hacer inmediatamente el equipo de Security Operations<\/h3>\n\n- B\u00fasqueda de SBOM para Microsoft.AspNetCore.DataProtection 10.0.0 hasta 10.0.6<\/li>\n
- Escaneo de im\u00e1genes de contenedor en versiones de tiempo de ejecuci\u00f3n .NET 10<\/li>\n
- Implementaci\u00f3n prioritaria de parches seg\u00fan la exposici\u00f3n a Internet<\/li>\n
- Rotaci\u00f3n de cookies en aplicaciones con mayor exposici\u00f3n<\/li>\n<\/ul><\/div>\n\n
Qu\u00e9 no funciona<\/h3>\n\n- Confiar \u00fanicamente en \u00abno somos accesibles\u00bb<\/li>\n
- Implementaci\u00f3n de parches sin rotaci\u00f3n de cookies en aplicaciones expuestas<\/li>\n
- Im\u00e1genes de contenedor sin Re-Build y Re-Deploy<\/li>\n
- Depender de las rutinas de Microsoft Patch Tuesday, ya que las actualizaciones fuera de banda se ejecutan por separado<\/li>\n<\/ul><\/div>\n<\/div>\n
Un plan de respuesta de 72 horas para las operaciones de seguridad<\/h2>\n
Tres d\u00edas son suficientes para una respuesta eficaz cuando Ingenier\u00eda y Seguridad trabajan de la mano. La siguiente l\u00f3gica de pasos se ha consolidado en varios bancos y aseguradoras del espacio DACH.<\/p>\n
\n\nHoras 0-12<\/div>\nInventario. B\u00fasqueda de SBOM (Bill of Materials de Software), escaneo de im\u00e1genes de contenedores, consulta a los equipos de Ingenier\u00eda. Resultado: lista de todas las aplicaciones ASP.NET Core afectadas con n\u00famero de versi\u00f3n y exposici\u00f3n.<\/div>\n<\/p><\/div>\n\nHoras 12-24<\/div>\nTriaje. \u00bfQu\u00e9 aplicaciones est\u00e1n expuestas a Internet, cu\u00e1les son internas y cu\u00e1les est\u00e1n en procesos regulados? Priorizaci\u00f3n seg\u00fan el riesgo, determinaci\u00f3n de la secuencia de parches.<\/div>\n<\/p><\/div>\n\nHoras 24-48<\/div>\nDespliegue de parches para aplicaciones cr\u00edticas. Primero las aplicaciones expuestas a Internet, con rotaci\u00f3n de cookies. Reconstruir y desplegar im\u00e1genes de contenedores, documentar la traza de auditor\u00eda.<\/div>\n<\/p><\/div>\n\nHoras 48-60<\/div>\nDespliegue de parches para aplicaciones internas. Servicios de capa intermedia, gateways de API, servicios de backend. Activar reglas SIEM para patrones sospechosos de renovaci\u00f3n de cookies.<\/div>\n<\/p><\/div>\n\nHoras 60-72<\/div>\nAn\u00e1lisis forense. Revisar los registros de los \u00faltimos 30 d\u00edas en busca de patrones de autenticaci\u00f3n inusuales. En caso de hallazgos, iniciar la cadena de incidentes. Finalizar el informe al CISO y al consejo de administraci\u00f3n.<\/div>\n<\/p><\/div>\n<\/div>\nLo que la brecha sobre las rutinas de parches de Microsoft 2026 muestra<\/h2>\n
Microsoft ha publicado actualizaciones Out-of-Band con m\u00e1s frecuencia en los \u00faltimos doce meses que en 2024. Esto cambia las expectativas operativas de las operaciones de seguridad. Quien solo rastrea el ciclo mensual de Patch Tuesday, pierde regularmente las actualizaciones cr\u00edticas Out-of-Band. Los boletines del Microsoft Security Response Center en 2026 deben incluirse en una ranura semanal de rutina, con un camino de escalada para publicaciones cr\u00edticas.<\/p>\n
Una segunda observaci\u00f3n merece atenci\u00f3n. ASP.NET Core es una plataforma con una difusi\u00f3n muy amplia en el mercado DACH, especialmente en los sectores financiero, asegurador y de servicios p\u00fablicos. La brecha no afecta a un componente de nicho, sino a una capa central. Quien como responsable de seguridad no conoce el alcance de la plataforma de su empresa, tiene un punto ciego en oleadas como esta. Un inventario b\u00e1sico de plataforma, que se actualiza una vez al a\u00f1o, merece la pena.<\/p>\n
Tercero: la disciplina SBOM es en 2026 la inversi\u00f3n operativa m\u00e1s importante. Quien tiene una lista de software completa y bien mantenida, reacciona en horas a estos incidentes. Quien no tiene SBOM, pasa las primeras 12 horas buscando en lugar de parchar. Proveedores como Anchore, Snyk y Sysdig tienen en 2026 herramientas maduras que automatizan la generaci\u00f3n de SBOM y la comparaci\u00f3n de CVE. La inversi\u00f3n merece la pena en el primer incidente cr\u00edtico.<\/p>\n
C\u00f3mo encaja la reacci\u00f3n en el panorama de parches del segundo trimestre<\/h2>\n
CVE-2026-40372 se suma a una serie. La actualizaci\u00f3n CISA-KEV del 20 de abril<\/a> con otras ocho vulnerabilidades, la reactivaci\u00f3n de PaperCut<\/a> y varios parches menores han mantenido ocupadas permanentemente a las operaciones de seguridad en 2026. La secuencia muestra que la carga operativa est\u00e1 aumentando. Los equipos que en 2024 pod\u00edan trabajar con dos CVE cr\u00edticas al mes, en 2026 enfrentan de cuatro a seis por semana.<\/p>\nEstructuralmente, esto requiere una arquitectura de personal diferente en las operaciones de seguridad. Quien trabaje con el modelo cl\u00e1sico de tres niveles de SOC (Centro de Operaciones de Seguridad), quedar\u00e1 rezagado en 2026. La visibilidad de ingenier\u00eda de plataforma, las canalizaciones de parches automatizadas y el inventario basado en SBOM (Bill of Materials de Software) deben convertirse en equipo est\u00e1ndar. Quien posponga esto, se crear\u00e1 una fricci\u00f3n creciente que se har\u00e1 visible en los pr\u00f3ximos trimestres.<\/p>\n
Para los consejos de administraci\u00f3n, el incidente plantea una raz\u00f3n concreta para actuar. Una pregunta sobre el estado de los parches en la pr\u00f3xima reuni\u00f3n de consejo agudiza el tema para el CISO y el CIO. Una segunda pregunta sobre la disciplina SBOM proporciona una buena comprobaci\u00f3n de madurez. Quien pueda dar una respuesta concreta a ambas preguntas despu\u00e9s de 30 segundos, tiene una gobernanza de seguridad funcional. Quien ofrezca vaguedad, tiene una necesidad de inversi\u00f3n identificable.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n\n\u00bfQu\u00e9 versiones de ASP.NET Core est\u00e1n afectadas?<\/strong><\/summary>\nDataProtection en las versiones 10.0.0 hasta 10.0.6. El parche en 10.0.7 est\u00e1 disponible desde el 22 de abril de 2026. Las versiones principales m\u00e1s antiguas no est\u00e1n directamente afectadas, pero deben revisarse independientemente del estado del ciclo de vida.<\/p>\n<\/details>\n\n\u00bfEs siempre necesaria la rotaci\u00f3n de cookies?<\/strong><\/summary>\nNo es obligatorio. Para aplicaciones con corta exposici\u00f3n y sin signos de explotaci\u00f3n, basta con el parche. Para aplicaciones expuestas a Internet con mayor exposici\u00f3n, la rotaci\u00f3n de cookies es recomendable, ya que no se puede descartar que las cookies ya hayan sido comprometidas.<\/p>\n<\/details>\n\n\u00bfC\u00f3mo s\u00e9 si mi aplicaci\u00f3n es vulnerable?<\/strong><\/summary>\nB\u00fasqueda de SBOM de Microsoft.AspNetCore.DataProtection en una de las versiones mencionadas. Los escaneos de im\u00e1genes de contenedor con Trivy, Grype o Snyk identifican paquetes afectados en las capas de im\u00e1genes. Los equipos de desarrollo suelen poder proporcionar un estado en pocas horas.<\/p>\n<\/details>\n\n\u00bfC\u00f3mo reaccionan CISA y BSI al incidente?<\/strong><\/summary>\nCISA ha documentado el incidente oportunamente, sin inclusi\u00f3n formal en KEV hasta el 23 de abril. El BSI ha publicado una advertencia preliminar. Ambas agencias recomiendan aplicar parches de inmediato. La inclusi\u00f3n formal en KEV podr\u00eda seguir en los pr\u00f3ximos d\u00edas si se confirma explotaci\u00f3n activa.<\/p>\n<\/details>\n\n\u00bfQu\u00e9 reglas de detecci\u00f3n son recomendables?<\/strong><\/summary>\nAlertas de SIEM para patrones inusuales de renovaci\u00f3n de cookies, intentos inusuales de escalada de privilegios desde el contexto del proceso ASP.NET-Core y anomal\u00edas en los registros de autenticaci\u00f3n. La b\u00fasqueda con EDR de procesos sospechosos generados desde procesos IIS o Kestrel complementa la capa de detecci\u00f3n.<\/p>\n<\/details>\n\n\u00bfCon qu\u00e9 frecuencia publica Microsoft actualizaciones fuera de banda en 2026?<\/strong><\/summary>\nCon m\u00e1s frecuencia que en 2024. En los \u00faltimos doce meses se han entregado varias actualizaciones cr\u00edticas fuera de banda. Una revisi\u00f3n semanal de los boletines del Microsoft Security Response Center es el ritmo adecuado para 2026.<\/p>\n<\/details>\n
\n<\/p>\nSelecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/aspnet-cve-px5483071-250x167.jpg\")
<\/span>Recomendado<\/span>ASP.NET Core CVE-2026-40372 (CVSS 9.1): Consecuencias de cumplimiento para tiendas de desarrollo financiero y de seguros bajo DORA y NIS2<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/cisa-kev-deadline-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>CISA ampl\u00eda el cat\u00e1logo KEV con ocho vulnerabilidades: Plazos para agencias federales el 23 de abril y 4 de mayo en resumen<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/squidex-ssrf-px17302202-250x166.jpg\")
<\/span>Recomendado<\/span>Squidex SSRF CVE-2026-41172: Por qu\u00e9 los backends de Headless-CMS ahora son un riesgo de cadena de suministro en la agenda de seguridad<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-google-cloud-location-finder-pre-ga-mult-46192637.jpg\")
<\/span>cloudmagazin<\/span>Buscador de Ubicaciones de Google Cloud: Control en la Nube<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-deloitte-state-of-ai-enterprise-2026-rep-73075490-250x141.jpg\")
<\/span>MyBusinessFuture<\/span>Estado de la IA en la Empresa 2026: Claves para pymes<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-it-services-outcome-fortune-22-april-202-12252338-250x167.jpg\")
<\/span>Digital Chiefs<\/span>Servicios TI como negocio basado en resultados: qu\u00e9 significa el art\u00edculo de Fortune del 22 de abril para los directivos de DACH<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Microsoft Out-of-Band 22.04.: ASP.NET Core CVE-2026-40372 con CVSS 9.1. Patch en DataProtection 10.0.7. Plan de respuesta de 72 horas para Security-Operations.","protected":false},"author":50,"featured_media":12901,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ASP NET Core peligro","_yoast_wpseo_title":"Microsoft ASP.NET Core Zero-Day CVE-2026-40372: CVSS 9.1, Patch desde el 22 de a","_yoast_wpseo_metadesc":"Microsoft ASP.NET Core CVE-2026-40372 con CVSS 9.1: Out-of-Band-Patch en 10.0.7. Plan de respuesta de 72 horas y rotaci\u00f3n de cookies para Security-Operations.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["das-sieht-nach-einem-prompt-injection-versuch-aus-die","microsoft-aspnet-core-zero-day-cve-2026-40372-cvss-9-1-patch-desde-el-22-de-abril"],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-12989","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":11,"wpml_language":"es","wpml_translation_of":12902,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12989","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=12989"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12989\/revisions"}],"predecessor-version":[{"id":21497,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12989\/revisions\/21497"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/12901"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=12989"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=12989"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=12989"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Qu\u00e9 hace esta vulnerabilidad concreta<\/h2>\n
\u00bfQu\u00e9 es CVE-2026-40372?<\/strong> CVE-2026-40372 es una vulnerabilidad de escalada de privilegios en la biblioteca DataProtection de ASP.NET Core, publicada el 22 de abril de 2026 con una puntuaci\u00f3n CVSS de 9.1. Una regresi\u00f3n en las versiones 10.0.0 a 10.0.6 debilita la verificaci\u00f3n de la firma criptogr\u00e1fica. Un atacante puede usar un HMAC todo-ceros para omitir la validaci\u00f3n y, por tanto, falsificar cookies de autenticaci\u00f3n y tokens antifalsificaci\u00f3n. Posteriormente, es posible alcanzar privilegios de SYSTEM en el host de ASP.NET Core. Microsoft ha distribuido la correcci\u00f3n en la versi\u00f3n 10.0.7.<\/p>\n El mecanismo est\u00e1 bien documentado. ASP.NET Core utiliza DataProtection para el cifrado y firma de cookies. Si la validaci\u00f3n de firma acepta un HMAC todo-ceros, es posible falsificar cualquier cookie. Esto abre la puerta a una omisi\u00f3n de autenticaci\u00f3n. Posteriormente, un atacante puede hacerse con la sesi\u00f3n de un administrador y, a trav\u00e9s de la canalizaci\u00f3n de ASP.NET Core, ejecutar c\u00f3digo con privilegios de SYSTEM. La cadena de escalada es corta, pero el da\u00f1o en aplicaciones de producci\u00f3n es considerable.<\/p>\n El problema no tanto est\u00e1 en la vulnerabilidad en s\u00ed misma como en su difusi\u00f3n. ASP.NET Core se ejecuta en decenas de miles de aplicaciones empresariales en todos los sectores. Muchas de estas aplicaciones se han migrado a .NET 10 en los \u00faltimos 24 meses sin que se haya revisado la configuraci\u00f3n de DataProtection. Las im\u00e1genes de contenedor con runtime .NET 10 se construyen en pipelines de CI y se despliegan en cl\u00fasteres de Kubernetes, sin una ruta de correcci\u00f3n autom\u00e1tica. Quien no tenga un mecanismo de seguimiento activo para las actualizaciones fuera de ciclo de Microsoft, puede pasar por alto f\u00e1cilmente esta vulnerabilidad.<\/p>\n Tres clases de aplicaciones merecen especial atenci\u00f3n. La primera es la aplicaci\u00f3n web cl\u00e1sica de backend en .NET 10. Quien opera una aplicaci\u00f3n web para clientes en un sector regulado, como banca en l\u00ednea, portales de autoservicio para clientes o procesos de solicitud de seguros, tiene una superficie de ataque directamente expuesta. Aqu\u00ed, el parche deber\u00eda estar en producci\u00f3n en un plazo de 48 horas, con un registro de auditor\u00eda documentado.<\/p>\n La segunda clase son las API gateways internas y los servicios de capa intermedia. Estas aplicaciones no son directamente accesibles desde Internet, pero tan pronto como un atacante consigue una cabeza de puente en la red interna, la vulnerabilidad se escala r\u00e1pidamente. Quienes no implementan una segmentaci\u00f3n de red estricta deber\u00edan tratar los parches de la misma manera que en las aplicaciones expuestas a Internet. La perspectiva de cumplimiento sobre DORA y NIS2<\/a> explica por qu\u00e9 las aplicaciones internas en sectores regulados deben tratarse de manera similar.<\/p>\n La tercera clase son las aplicaciones ASP.NET Core m\u00e1s antiguas que se han migrado a .NET 10 en los \u00faltimos 24 meses sin haber verificado la configuraci\u00f3n de DataProtection. Estas aplicaciones a menudo est\u00e1n en estado de mantenimiento y se actualizan con menos frecuencia. Precisamente por eso son un objetivo atractivo. Un inventario de los restos de la migraci\u00f3n deber\u00eda realizarse en paralelo con la implementaci\u00f3n de parches.<\/p>\n Tres d\u00edas son suficientes para una respuesta eficaz cuando Ingenier\u00eda y Seguridad trabajan de la mano. La siguiente l\u00f3gica de pasos se ha consolidado en varios bancos y aseguradoras del espacio DACH.<\/p>\n Microsoft ha publicado actualizaciones Out-of-Band con m\u00e1s frecuencia en los \u00faltimos doce meses que en 2024. Esto cambia las expectativas operativas de las operaciones de seguridad. Quien solo rastrea el ciclo mensual de Patch Tuesday, pierde regularmente las actualizaciones cr\u00edticas Out-of-Band. Los boletines del Microsoft Security Response Center en 2026 deben incluirse en una ranura semanal de rutina, con un camino de escalada para publicaciones cr\u00edticas.<\/p>\n Una segunda observaci\u00f3n merece atenci\u00f3n. ASP.NET Core es una plataforma con una difusi\u00f3n muy amplia en el mercado DACH, especialmente en los sectores financiero, asegurador y de servicios p\u00fablicos. La brecha no afecta a un componente de nicho, sino a una capa central. Quien como responsable de seguridad no conoce el alcance de la plataforma de su empresa, tiene un punto ciego en oleadas como esta. Un inventario b\u00e1sico de plataforma, que se actualiza una vez al a\u00f1o, merece la pena.<\/p>\n Tercero: la disciplina SBOM es en 2026 la inversi\u00f3n operativa m\u00e1s importante. Quien tiene una lista de software completa y bien mantenida, reacciona en horas a estos incidentes. Quien no tiene SBOM, pasa las primeras 12 horas buscando en lugar de parchar. Proveedores como Anchore, Snyk y Sysdig tienen en 2026 herramientas maduras que automatizan la generaci\u00f3n de SBOM y la comparaci\u00f3n de CVE. La inversi\u00f3n merece la pena en el primer incidente cr\u00edtico.<\/p>\n CVE-2026-40372 se suma a una serie. La actualizaci\u00f3n CISA-KEV del 20 de abril<\/a> con otras ocho vulnerabilidades, la reactivaci\u00f3n de PaperCut<\/a> y varios parches menores han mantenido ocupadas permanentemente a las operaciones de seguridad en 2026. La secuencia muestra que la carga operativa est\u00e1 aumentando. Los equipos que en 2024 pod\u00edan trabajar con dos CVE cr\u00edticas al mes, en 2026 enfrentan de cuatro a seis por semana.<\/p>\n Estructuralmente, esto requiere una arquitectura de personal diferente en las operaciones de seguridad. Quien trabaje con el modelo cl\u00e1sico de tres niveles de SOC (Centro de Operaciones de Seguridad), quedar\u00e1 rezagado en 2026. La visibilidad de ingenier\u00eda de plataforma, las canalizaciones de parches automatizadas y el inventario basado en SBOM (Bill of Materials de Software) deben convertirse en equipo est\u00e1ndar. Quien posponga esto, se crear\u00e1 una fricci\u00f3n creciente que se har\u00e1 visible en los pr\u00f3ximos trimestres.<\/p>\n Para los consejos de administraci\u00f3n, el incidente plantea una raz\u00f3n concreta para actuar. Una pregunta sobre el estado de los parches en la pr\u00f3xima reuni\u00f3n de consejo agudiza el tema para el CISO y el CIO. Una segunda pregunta sobre la disciplina SBOM proporciona una buena comprobaci\u00f3n de madurez. Quien pueda dar una respuesta concreta a ambas preguntas despu\u00e9s de 30 segundos, tiene una gobernanza de seguridad funcional. Quien ofrezca vaguedad, tiene una necesidad de inversi\u00f3n identificable.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n DataProtection en las versiones 10.0.0 hasta 10.0.6. El parche en 10.0.7 est\u00e1 disponible desde el 22 de abril de 2026. Las versiones principales m\u00e1s antiguas no est\u00e1n directamente afectadas, pero deben revisarse independientemente del estado del ciclo de vida.<\/p>\n<\/details>\n No es obligatorio. Para aplicaciones con corta exposici\u00f3n y sin signos de explotaci\u00f3n, basta con el parche. Para aplicaciones expuestas a Internet con mayor exposici\u00f3n, la rotaci\u00f3n de cookies es recomendable, ya que no se puede descartar que las cookies ya hayan sido comprometidas.<\/p>\n<\/details>\n B\u00fasqueda de SBOM de Microsoft.AspNetCore.DataProtection en una de las versiones mencionadas. Los escaneos de im\u00e1genes de contenedor con Trivy, Grype o Snyk identifican paquetes afectados en las capas de im\u00e1genes. Los equipos de desarrollo suelen poder proporcionar un estado en pocas horas.<\/p>\n<\/details>\n CISA ha documentado el incidente oportunamente, sin inclusi\u00f3n formal en KEV hasta el 23 de abril. El BSI ha publicado una advertencia preliminar. Ambas agencias recomiendan aplicar parches de inmediato. La inclusi\u00f3n formal en KEV podr\u00eda seguir en los pr\u00f3ximos d\u00edas si se confirma explotaci\u00f3n activa.<\/p>\n<\/details>\n Alertas de SIEM para patrones inusuales de renovaci\u00f3n de cookies, intentos inusuales de escalada de privilegios desde el contexto del proceso ASP.NET-Core y anomal\u00edas en los registros de autenticaci\u00f3n. La b\u00fasqueda con EDR de procesos sospechosos generados desde procesos IIS o Kestrel complementa la capa de detecci\u00f3n.<\/p>\n<\/details>\n Con m\u00e1s frecuencia que en 2024. En los \u00faltimos doce meses se han entregado varias actualizaciones cr\u00edticas fuera de banda. Una revisi\u00f3n semanal de los boletines del Microsoft Security Response Center es el ritmo adecuado para 2026.<\/p>\n<\/details>\nQu\u00e9 clases de aplicaciones son especialmente cr\u00edticas<\/h2>\n
Qu\u00e9 debe hacer inmediatamente el equipo de Security Operations<\/h3>\n
\n
Qu\u00e9 no funciona<\/h3>\n
\n
Un plan de respuesta de 72 horas para las operaciones de seguridad<\/h2>\n
Lo que la brecha sobre las rutinas de parches de Microsoft 2026 muestra<\/h2>\n
C\u00f3mo encaja la reacci\u00f3n en el panorama de parches del segundo trimestre<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfQu\u00e9 versiones de ASP.NET Core est\u00e1n afectadas?<\/strong><\/summary>\n
\u00bfEs siempre necesaria la rotaci\u00f3n de cookies?<\/strong><\/summary>\n
\u00bfC\u00f3mo s\u00e9 si mi aplicaci\u00f3n es vulnerable?<\/strong><\/summary>\n
\u00bfC\u00f3mo reaccionan CISA y BSI al incidente?<\/strong><\/summary>\n
\u00bfQu\u00e9 reglas de detecci\u00f3n son recomendables?<\/strong><\/summary>\n
\u00bfCon qu\u00e9 frecuencia publica Microsoft actualizaciones fuera de banda en 2026?<\/strong><\/summary>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
<\/span>Recomendado<\/span>ASP.NET Core CVE-2026-40372 (CVSS 9.1): Consecuencias de cumplimiento para tiendas de desarrollo financiero y de seguros bajo DORA y NIS2<\/span><\/span><\/a><\/span>Recomendado<\/span>CISA ampl\u00eda el cat\u00e1logo KEV con ocho vulnerabilidades: Plazos para agencias federales el 23 de abril y 4 de mayo en resumen<\/span><\/span><\/a><\/span>Recomendado<\/span>Squidex SSRF CVE-2026-41172: Por qu\u00e9 los backends de Headless-CMS ahora son un riesgo de cadena de suministro en la agenda de seguridad<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
<\/span>cloudmagazin<\/span>Buscador de Ubicaciones de Google Cloud: Control en la Nube<\/span><\/span><\/a><\/span>MyBusinessFuture<\/span>Estado de la IA en la Empresa 2026: Claves para pymes<\/span><\/span><\/a><\/span>Digital Chiefs<\/span>Servicios TI como negocio basado en resultados: qu\u00e9 significa el art\u00edculo de Fortune del 22 de abril para los directivos de DACH<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Microsoft Out-of-Band 22.04.: ASP.NET Core CVE-2026-40372 con CVSS 9.1. Patch en DataProtection 10.0.7. Plan de respuesta de 72 horas para Security-Operations.","protected":false},"author":50,"featured_media":12901,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ASP NET Core peligro","_yoast_wpseo_title":"Microsoft ASP.NET Core Zero-Day CVE-2026-40372: CVSS 9.1, Patch desde el 22 de a","_yoast_wpseo_metadesc":"Microsoft ASP.NET Core CVE-2026-40372 con CVSS 9.1: Out-of-Band-Patch en 10.0.7. Plan de respuesta de 72 horas y rotaci\u00f3n de cookies para Security-Operations.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["das-sieht-nach-einem-prompt-injection-versuch-aus-die","microsoft-aspnet-core-zero-day-cve-2026-40372-cvss-9-1-patch-desde-el-22-de-abril"],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-12989","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":11,"wpml_language":"es","wpml_translation_of":12902,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12989","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=12989"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12989\/revisions"}],"predecessor-version":[{"id":21497,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12989\/revisions\/21497"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/12901"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=12989"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=12989"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=12989"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}