Un parche de Windows 11 interrumpe la impresión en WPF para la fuente Calibri, provocando una solución temporal de seguridad riesgosa

Microsoft ha reconocido un fallo crítico introducido en una reciente actualización del sistema Windows 11 que interrumpe la impresión de documentos y la generación de PDF en aplicaciones creadas sobre el marco de trabajo Windows Presentation Foundation. El defecto bloquea de manera selectiva los trabajos de impresión y las exportaciones de archivos cuando los documentos utilizan tipografías específicas, muy especialmente la ampliamente utilizada fuente Calibri de Microsoft. Para restablecer de inmediato la funcionalidad de impresión en el software empresarial y de consumo afectado, Microsoft publicó una solución temporal operativa. Sin embargo, los analistas de ciberseguridad advierten que aplicar la mitigación recomendada requiere que los administradores de sistemas desactiven protecciones de seguridad específicas del sistema operativo, lo que obliga a las organizaciones a asumir un difícil compromiso entre las operaciones comerciales diarias y las posturas de defensa de los puntos finales.

## Datos clave - Una actualización acumulativa de Windows 11 rompió las capacidades de impresión de documentos y exportación a PDF en el software que utiliza el marco de trabajo Windows Presentation Foundation. - El fallo de renderizado afecta específicamente a documentos que contienen ciertas familias de fuentes, incluida Calibri, la tipografía predeterminada estándar en las aplicaciones de Microsoft durante más de quince años. - Microsoft lanzó una mitigación temporal para restablecer los flujos de trabajo de impresión, pero el procedimiento exige desactivar controles de seguridad fundamentales del sistema operativo. - El error afecta tanto a la impresión en hardware físico a través de conexiones locales y de red como a los canales de impresión virtual, incluidas las salidas nativas de "Imprimir en PDF". - Los equipos de ingeniería de software de Microsoft están desarrollando un parche de software permanente destinado a resolver el conflicto de renderizado subyacente sin comprometer las funciones de seguridad.

## Qué ocurrió El problema surgió tras el despliegue de un paquete de actualización reciente de Windows 11 diseñado para ofrecer mejoras en el sistema y parches de seguridad. Poco después de la instalación, los usuarios y administradores de sistemas empresariales informaron que las aplicaciones de escritorio comerciales y personalizadas creadas con el marco de desarrollo Windows Presentation Foundation (WPF) fallaban al intentar emitir documentos. El fallo ocurre tanto en los mecanismos físicos de cola de impresión —como el envío de trabajos a impresoras de red de oficina— como en los canales de renderizado virtual, incluida la exportación de archivos a formato PDF.

La investigación del defecto reveló un desencadenante muy específico: el fallo del motor de impresión ocurre exclusivamente cuando el documento WPF subyacente contiene tipografías particulares. Entre las fuentes afectadas se encuentra Calibri, una tipografía sans-serif creada por Lucas de Groot y distribuida con los productos de Microsoft desde 2007. Cuando una aplicación WPF intenta procesar un documento que contiene Calibri, el flujo de análisis de fuentes o renderizado de impresión del sistema detecta una excepción no controlada o un bloqueo de seguridad, descartando silenciosamente el trabajo o devolviendo un error de impresión genérico.

En respuesta a los crecientes informes de clientes empresariales afectados, Microsoft reconoció el error e emitió una guía oficial que detalla una solución temporal. La resolución sugerida permite que los sistemas omitan el fallo de renderizado y reanuden las operaciones de impresión. Sin embargo, el procedimiento requiere modificar las configuraciones administrativas para desactivar protecciones de seguridad integradas específicas que rigen el aislamiento de procesos o las mitigaciones de manejo de fuentes. En consecuencia, aunque la solución temporal restablece con éxito la funcionalidad del software basado en WPF, elimina intencionadamente capas de seguridad diseñadas para proteger el núcleo (kernel) de Windows y las aplicaciones de usuario frente a la ejecución de código malicioso.

## Por qué es importante La intersección entre la arquitectura de software WPF, la tipografía predeterminada y los mecanismos de seguridad del sistema operativo crea una importante fricción operativa para los departamentos de TI empresariales. Windows Presentation Foundation, introducido por Microsoft hace casi dos décadas como parte de .NET Framework, sigue siendo una tecnología fundamental para miles de aplicaciones de línea de negocio en sectores como la banca, la atención médica, la logística y la administración gubernamental. Estas herramientas empresariales dependen en gran medida de rutinas de impresión automatizadas para generar facturas físicas, manifiestos de envío, historias clínicas y documentación de cumplimiento normativo.

Agravando el problema se encuentra el papel central de la fuente Calibri dentro del ecosistema moderno de documentos digitales. Introducida como la fuente predeterminada para Microsoft Office 2007 en reemplazo de Times New Roman, Calibri funcionó como la tipografía predeterminada principal en Word, Excel, PowerPoint y Outlook durante dieciséis años antes de ser sucedida por Aptos a finales de 2023. Como resultado, millones de plantillas corporativas, formularios automatizados y herramientas de informes estandarizados están configuradas para renderizar texto en Calibri. Reemplazar o modificar fuentes en vastos repositorios de documentos corporativos suele ser prácticamente imposible sin una profunda reingeniería de software.

Para los equipos de operaciones de seguridad, la solución temporal de Microsoft plantea un dilema indeseado. Históricamente, el subsistema de impresión de Windows y los motores de renderizado de fuentes han sido objetivos principales para los actores de amenazas que buscan la ejecución remota de código o la elevación local de privilegios. Exploits de alto perfil, como las infames vulnerabilidades "PrintNightmare" descubiertas en 2021, pusieron de relieve los riesgos sistémicos que representan los servicios de impresión no reforzados. Desactivar las mitigaciones de seguridad para mantener la funcionalidad de impresión expone los puntos finales empresariales a una posible explotación, mientras que dejar intactos los controles de seguridad corre el riesgo de paralizar procesos comerciales clave que generan ingresos.

## Contexto Para entender por qué ocurre un error de impresión específico de una fuente en Windows 11, es necesario examinar la relación arquitectónica entre Windows Presentation Foundation, los canales de renderizado de fuentes y la evolución de las defensas de seguridad de Windows. WPF se introdujo en 2006 junto con Windows Vista y .NET Framework 3.0 como un subsistema gráfico moderno. A diferencia de las librerías gráficas más antiguas de Win32 como GDI (Graphics Device Interface) o GDI+, WPF se basa en gran medida en la tecnología de renderizado vectorial XML Paper Specification (XPS). Cuando una aplicación WPF envía un documento a una impresora o a un generador de PDF, traduce los controles de interfaz de usuario de alto nivel y las rutas vectoriales a formatos de documento fijo XPS antes de pasarlos al depurador de impresión (spooler) de Windows.

Históricamente, el análisis sintáctico (parsing) de fuentes en Windows tenía lugar directamente dentro del subsistema en modo núcleo (kernel) a través del controlador win32k.sys. Debido a que las fuentes son archivos complejos que contienen complejas matemáticas vectoriales e instrucciones de comandos para el posicionamiento de glifos, el análisis de archivos de fuentes no confiables en el espacio del núcleo creaba graves vulnerabilidades de seguridad. Los atacantes podían diseñar archivos de fuentes corruptos que, al ser analizados por Windows, ejecutaban código arbitrario con privilegios totales del sistema. A lo largo de sucesivas generaciones de Windows —comenzando con Windows 10 y continuando en Windows 11—, Microsoft emprendió masivos esfuerzos de reestructuración para aislar el renderizado de fuentes en procesos en modo usuario aislados en entornos de pruebas (sandboxes) y aplicar políticas estrictas de mitigación de procesos.

Estas mejoras de seguridad incluyen mecanismos como el aislamiento del análisis de fuentes (Font Parsing Isolation), el bloqueo de fuentes no confiables y las reglas de reducción de la superficie de ataque (Attack Surface Reduction). En las iteraciones modernas de Windows 11, cuando una aplicación intenta cargar, incrustar o renderizar una fuente durante un trabajo de impresión, el sistema operativo verifica los datos de la fuente con respecto a reglas de seguridad estrictas para garantizar que no pueda explotar las rutinas de gestión de memoria.

Sin embargo, el reforzamiento de la seguridad genera periódicamente regresiones de compatibilidad. Cuando Microsoft actualiza los controladores de renderizado de bajo nivel o refuerza los controles de seguridad durante las actualizaciones mensuales de rutina, discrepancias sutiles en cómo se analizan tablas específicas de fuentes OpenType o TrueType pueden desencadenar intervenciones de seguridad inesperadas. En este caso, la interacción entre la capa de traducción XPS interna de WPF, las matrices de sugerencias (hints) específicas de la fuente Calibri y las políticas de seguridad recién aplicadas en Windows 11 provocaron que el sistema interpretara las llamadas de fuentes válidas como violaciones de políticas, deteniendo por completo el depurador de impresión.

## Reacciones El descubrimiento del defecto de la actualización desató un debate inmediato en foros de administradores de TI, canales de gestión empresarial y medios técnicos. Los administradores de sistemas expresaron su frustración por la recurrente interrupción operativa causada por las actualizaciones mensuales de rutina, particularmente con respecto al control de calidad de los parches en entornos empresariales. En plataformas comunitarias técnicas como r/sysadmin de Reddit, el personal de TI informó tener dificultades para gestionar los tickets de los usuarios sobre fallos silenciosos en la generación de PDF en software empresarial personalizado.

Los profesionales de la ciberseguridad han expresado su preocupación por la solución temporal recomendada por Microsoft, señalando que reducir los controles de seguridad para solucionar la funcionalidad de impresión introduce una exposición innecesaria. Muchos equipos de seguridad han aconsejado no implementar la solución temporal en flotas enteras de estaciones de trabajo, recomendando en su lugar que las organizaciones aislen las máquinas afectadas o alteren temporalmente la configuración de fuentes a nivel de aplicación donde sea posible hasta que se lance una corrección de software permanente.

## Lo que aún no se sabe Varios detalles críticos sobre la naturaleza y el alcance del error siguen sin confirmarse. En primer lugar, la designación precisa de la actualización de la base de conocimiento (Knowledge Base o KB) responsable de introducir la regresión no se ha especificado públicamente, lo que dificulta que los administradores de TI desinstalen o bloqueen de forma selectiva el paquete de actualización exacto sin desarmar actualizaciones de seguridad más amplias.

Además, aunque Calibri se ha identificado como la principal tipografía problemática, actualmente se desconoce cuántas otras fuentes del sistema instaladas o fuentes OpenType personalizadas activan el mismo fallo de impresión en las aplicaciones WPF. Por otra parte, la documentación técnica proporcionada por Microsoft no revela la política de seguridad o entrada de registro exacta que se modifica en la solución temporal, lo que deja a los analistas de seguridad sin poder cuantificar el lapso preciso de vulnerabilidad generado al desactivar la protección. Por último, Microsoft no ha publicado una fecha de lanzamiento vinculante para el próximo parche permanente.

## Qué tener en cuenta En los próximos días, los administradores de sistemas y directores de TI deberán monitorear el panel oficial Microsoft Windows Release Health para obtener actualizaciones de estado y designaciones específicas de KB relacionadas con este problema. Se espera que Microsoft emita un aviso formal a través de su Centro de Respuesta de Seguridad (MSRC) detallando las claves de registro o mitigaciones de procesos precisas involucradas en la solución temporal.

Las organizaciones también deben estar atentas a la publicación de una actualización de software fuera de banda (OOB) o a un próximo lanzamiento mensual del Patch Tuesday que contenga una resolución permanente. Mientras tanto, los desarrolladores de software empresarial que utilizan WPF pueden publicar parches de aplicación de emergencia que sustituyan temporalmente las referencias a fuentes problemáticas como Calibri por fuentes del sistema alternativas y no afectadas como Arial o Segoe UI para eludir el error sin reducir la seguridad del sistema operativo.

La información sobre este defecto de actualización de Windows 11 y la solución temporal de seguridad de Microsoft fue publicada por primera vez por el periodista tecnológico Omar Sohail.