Mark of the Web: set formes que el fitxer que arriba de fora no ho sembli

Dimarts 13, al paquet d'actualitzacions d'octubre, Microsoft va corregir CVE-2026-96951. La fitxa oficial la titula Windows Shell Security Feature Bypass Vulnerability i respon al seu propi apartat de preguntes quina funció de seguretat se salta: «An attacker who successfully exploited the vulnerability could evade Mark of the Web (MOTW) defenses». Puntuació 8.8, amb un vector que marca explotació funcional i correcció oficial disponible. I una línia que convé llegir sencera: «Publicly Disclosed:No;Exploited:Yes;Latest Software Release:Exploitation Detected». No se'n sabia res i ja s'usava.

La reacció normal a això és pedaçar, i cal pedaçar-ho. Però l'error d'aquesta setmana és la part menys interessant de l'assumpte. L'interessant és què és exactament allò que se saltava, perquè és el fonament de la protecció que la teva gent arriba a veure quan obre un adjunt, i perquè la documentació de la mateixa Microsoft enumera, sense amagar-les, set situacions perfectament legítimes en què aquest fonament no hi és.

Què decideix que l'Office no executi aquesta macro

Mark of the Web és un flux de dades alternatiu d'NTFS anomenat Zone.Identifier que Windows adjunta als fitxers que arriben de llocs on no confia. A dins hi ha un número, el ZoneId: 0 és el mateix equip, 1 la intranet local, 2 els llocs de confiança, 3 internet i 4 els llocs restringits. Es mira des d'una consola, sense eines:

notepad informe-trimestral.xlsm:Zone.Identifier

[ZoneTransfer]
ZoneId=3

Aquest 3 és la raó per la qual l'Excel ensenya la banda vermella de risc de seguretat i no deixa executar la macro. El diagrama de decisió que publica Microsoft té set passos, i el primer és la frase que sosté tota la resta: «A user opens an Office file containing macros obtained from the internet. (…) The file has Mark of the Web (MOTW)». Si el fitxer no la porta, no hi ha pas dos. No és que l'usuari pugui saltar-se l'avís: és que l'avís no es planteja.

Quatre vies per les quals la marca no arriba a posar-se

Les quatre són a la mateixa pàgina de documentació, en apartats diferents, i cap no és un error. Són el comportament previst.

• Obrir a l'aplicació d'escriptori. Si algú està veient el fitxer al web de OneDrive o en un lloc de SharePoint —inclòs el d'un canal de Teams— i prem Open in Desktop App, «the file won't have Mark of the Web». És el camí que ensenyes a utilitzar a tothom perquè és el còmode.
• El client de sincronització de OneDrive. Quan és ell qui es descarrega el fitxer, tampoc no es posa: «If a user has the OneDrive sync client running and the sync client downloads a file, then the file won't have Mark of the Web».
• Les carpetes conegudes. Escriptori, Documents, Imatges, Captures i Àlbum de càmera, quan estan sincronitzades amb OneDrive, «don't have Mark of the Web». És a dir: la còpia de seguretat de carpetes que actives per higiene també desactiva la marca allà on la gent desa les coses.
• El sistema de fitxers. «Mark of the Web only applies to files saved on an NTFS file system, not files saved to FAT32 formatted devices». El pendrive de la fira, el disc d'intercanvi amb la gestoria, la targeta d'una càmera: si va en FAT32, no hi ha on escriure l'etiqueta.

Tres més en què la marca hi és i no decideix res

• Ubicacions de confiança. Desar un fitxer d'internet en una d'elles «ignores the check for Mark of the Web and opens with VBA macros enabled». La mateixa Microsoft recomana administrar-les «carefully» i fer-ne servir «sparingly»; el que un es troba en treure la llista són ubicacions que ningú no sap justificar, posades anys enrere per desencallar una incidència concreta.
• La zona d'origen. La marca s'afegeix «only from the Internet or Restricted sites zones», i amb ZoneId=2 les macros no es bloquegen. Afegir un servidor de fitxers a llocs de confiança per resoldre una incidència té un efecte que la documentació avisa en veu alta: «you're also giving the entire site elevated permissions for scenarios not related to Office».
• El mateix usuari. La casella Desbloqueja a les propietats del fitxer, o un Unblock-File al PowerShell, esborra el ZoneId. I hi ha una herència silenciosa: si algú va prémer «Habilita el contingut» en aquell document abans del canvi del 2022, va passar a ser un Trusted Document i les macros «will continue to run» malgrat el bloqueig nou.

Cap de les set no és un atac. Són decisions de producte i d'administració, preses per bones raons, que en conjunt descriuen una cosa incòmoda: la protecció que de debò separa la teva gent d'una macro hostil no depèn d'una política que hagis escrit, sinó de per quina porta va entrar el fitxer.

I el vuitè, que aquesta setmana va costar un pedaç urgent

El CVE de dimarts afegeix a aquesta llista un camí que no és legítim. Segons la fitxa de Microsoft és una injecció d'ordres a Windows Shell que un atacant fa servir enviant «a specially crafted file» per correu o missatgeria, i l'avís insisteix que cal que algú l'obri. Afecta 31 productes: trenta edicions de Windows, de Windows 10 1607 a Windows 11 26H2 i de Server 2012 R2 a Server 2025, més Outlook.com, que és l'únic de la llista sense KB perquè no es pedaça a casa teva. Per als altres trenta calen nou paquets diferents segons la branca. Si el teu inventari té quatre versions de Windows convivint, allà tens quatre validacions, no una.

No és el primer d'enguany en el mateix component. Al febrer va ser CVE-2026-21510, i a l'abril va arribar CVE-2026-32202 perquè el pedaç de febrer s'havia quedat a mitges: l'equip de recerca d'Akamai va documentar que la correcció va tancar l'execució de codi però va deixar oberta l'etapa anterior, l'extracció de la icona, de manera que la màquina continuava autenticant-se contra el servidor de l'atacant. Tres entrades del mateix component al catàleg de vulnerabilitats explotades de CISA en vuit mesos, i una d'elles filla d'un arranjament incomplet.

El termini ja no cap en una finestra de manteniment

Les tres entrades porten data límit, i la progressió es llegeix sola. A la de febrer CISA li va donar fins al 3 de març: 21 dies. A la d'abril, fins al 12 de maig: 14. A la de dimarts, fins al 16 d'octubre: tres. Vam descarregar el catàleg sencer (versió 2026.10.13, 1.741 entrades) i vam comptar els terminis de les 257 altes d'enguany: 132 són de tres dies, 78 de catorze, 44 de vint-i-un i tres porten terminis atípics. La meitat de les altes de l'any ja es despatxa en 72 hores.

Convé dir d'on surt l'estrenyiment, perquè no és que els errors siguin pitjors cada vegada: CISA va canviar el marc a mig camí. La directiva BOD 26-04, publicada el 10 de juny, reparteix les correccions en finestres de tres, catorze o trenta dies, o les ajorna al cicle d'actualització següent, i la de tres surt de l'encreuament de quatre condicions: actiu exposat públicament, error present al catàleg, explotació automatitzable i control complet del sistema. Els terminis de febrer i d'abril es van fixar abans que la directiva existís. Després: de les 124 altes posteriors al 10 de juny, 101 porten tres dies i 23 en porten catorze, i el tram de trenta dies no ha aparegut ni una sola vegada. Abans d'aquella data eren 31 de 133.

I convé dir a qui obliga això: a les agències federals civils dels Estats Units, amb les seves exclusions. A una pime de Manresa no l'obliga ningú. El que mesura aquest termini no és una multa, és el temps que l'organisme que el publica creu que trigues a tenir el problema a dins. De l'aritmètica d'aquests terminis contra el calendari laboral ja en vam escriure a l'agost —tres dies per pedaçar i el tercer cau en dissabte—; el que ha canviat des de llavors no és l'aritmètica, és que la finestra curta ja és la norma i no el cas excepcional.

La política que ho faria obligatori no està a tots els plans

Hi ha una manera de no dependre del comportament per defecte: activar la política «Block macros from running in Office files from the Internet», que Microsoft recomana com a part de la seva línia base de seguretat per a Microsoft 365 Apps for enterprise. Amb ella posada, diu la documentació, «your organization won't be affected by this default change». I molt més avall, en una altra secció i en un altre requadre, la lletra petita que l'acota: «You can only use policies if you're using Microsoft 365 Apps for enterprise. Policies aren't available for Microsoft 365 Apps for business».

Això no vol dir que el Business Premium d'una pime de vint persones quedi desprotegit: el bloqueig per defecte se li aplica igual. Vol dir que no el pot fixar, que depèn que el comportament per defecte continuï sent aquest i que ningú no toqui el Centre de confiança al seu equip. La diferència entre una protecció i una configuració per defecte és qui pot canviar-la sense que te n'assabentis. És el mateix raonament que seguim amb les versions perpètues de l'Office, on el que caduca no és el programa sinó la prova —Office 2021 no deixa de funcionar, deixa de provar-se—.

La taula que respon això a casa teva

L'anterior és el que diu la documentació. El que passa a la teva empresa s'esbrina amb el mateix fitxer entrant per totes les portes i un notepad fitxer:Zone.Identifier darrere de cadascuna. És mitja hora i en surt una taula de tres columnes:

Falten dues coses que no caben a la taula i es responen igual de ràpid. Una: quin pla d'Office tens contractat de debò, perquè d'això depèn si la política existeix o no. I dues: quants dies passen des que publiques una actualització fins que el 95% dels equips ha reiniciat de debò. Si aquesta segona resposta és «dissabte que ve», ja saps que el termini de tres dies no és per a tu, i el que et queda mentrestant és detecció al lloc de treball.

El que queda apuntat

La banda groga de l'Office fa vint anys que educa la gent perquè desconfiï del que ve de fora, i ha funcionat raonablement bé. El problema d'educar algú amb un senyal és que el dia que el senyal no apareix, el que has ensenyat és a confiar. Un adjunt que arriba per la via còmoda, sense marca, no demana permís per a res, i l'usuari que va fer bé la seva feina durant anys no té manera de notar la diferència.

Fonts (consultades el 14-10-2026): el títol oficial de CVE-2026-96951, la puntuació 8.8, el vector, la línia «Publicly Disclosed:No;Exploited:Yes», les dues respostes del FAQ, els 31 productes afectats i els nou paquets d'actualització surten del fitxer CVRF d'octubre de 2026 que publica el MSRC. Les dates d'alta i els terminis de les tres entrades de Windows Shell, el recompte de les 257 afegides el 2026 i el tall del 10 de juny són nostres, fets sobre el catàleg KEV en la versió 2026.10.13 (1.741 entrades): qualsevol pot baixar-se el JSON i refer-los. El repartiment de finestres i les quatre condicions del tram de tres dies són de la directiva BOD 26-04; l'abast federal, de l'avís del 13 d'octubre. El flux de set passos, l'ordre de Zone.Identifier, la taula de zones, les quatre vies sense marca, les ubicacions de confiança, els documents de confiança i la frase sobre els plans són de «Macros from the internet are blocked by default in Office». L'anàlisi del pedaç incomplet de febrer és d'Akamai. Un matís de recompte, per si compares titulars: el CVRF d'octubre porta 1.760 identificadors, però 341 són de Mariner, el Linux d'Azure, que la majoria de recomptes públics deixa fora; d'aquí que es llegeixin xifres diferents segons la casa. No hem reproduït l'error ni tenim telemetria pròpia sobre la seva explotació: el que és nostre és el recompte del catàleg, la lectura de les set vies juntes i la taula de portes d'entrada.