Microsoft corrige 1.413 fallos en un solo Patch Tuesday

El récord que nadie quería batir

Microsoft corrigió más de 1.400 vulnerabilidades en una sola tanda de parches publicada el 13 de octubre, la mayor de su historia. La cifra exacta depende de quién cuente: 1.415 para Zero Day Initiative, 1.413 para CrowdStrike y 1.414 para PDQ. Cualquiera de los tres números supera el total de todo 2025.

Para un founder, el titular no es el récord. Es que solo una de esas vulnerabilidades se está explotando activamente, y esa es la que hay que parchear hoy.

¿Qué vulnerabilidad hay que parchear primero?

CVE-2026-96951, un fallo de inyección de comandos en Windows Shell con puntuación CVSS 8,8. Permite saltarse la protección Mark of the Web (MOTW), la marca que Windows pone a los archivos descargados de internet y que activa los avisos al usuario, la Vista Protegida de Office o el bloqueo directo del archivo.

El ataque es sencillo: el atacante envía un archivo preparado por correo, mensaje instantáneo o herramientas de colaboración como Teams y Slack, o convence a la víctima de descargarlo desde un sitio malicioso. Requiere interacción del usuario, pero nada más: ni autenticación ni privilegios previos. CISA la añadió a su catálogo de vulnerabilidades explotadas y fijó el 16 de octubre como fecha límite para que las agencias federales de Estados Unidos la mitiguen.

Según Tenable, es el tercer fallo de Windows Shell explotado en la naturaleza este año. Los otros dos fueron CVE-2026-21510, vinculado al grupo APT28 (Fancy Bear), y CVE-2026-32202, que corregía un parche incompleto del anterior.

Otras dos se divulgaron públicamente antes del parche, aunque sin explotación conocida: CVE-2026-108398 en .NET Framework (CVSS 8,8), que permite saltarse Windows Defender Application Control y ejecutar código dentro de un proceso protegido, y CVE-2026-92707 en MessagePack-CSharp (CVSS 5,3), una denegación de servicio por asignación de memoria no controlada.

¿Qué más hay entre 1.400 parches?

Según CrowdStrike, 75 de los fallos son críticos (PDQ cuenta 78). Por tipo, el 48% son de elevación de privilegios, el 22% de ejecución remota de código y el 18% de fuga de información.

Entre los críticos con CVSS 9,8 hay cinco en Outlook, dos en el protocolo QUIC, uno en el servidor DHCP, otro en MSMQ y otro en PowerPoint. El de Outlook (CVE-2026-70242) es el más incómodo: un desbordamiento de búfer que se dispara al mostrar el correo en el panel de lectura, sin que el destinatario abra el mensaje ni haga clic en nada.

Hay más nombres para anotar. CVE-2026-102866 en SharePoint Server permite a un atacante no autenticado hacerse pasar por un usuario objetivo si consigue un token válido. CVE-2026-65674 en SQL Server deja que un atacante autenticado ejecute código en el servidor. Y CVE-2026-21413 (CVSS 9,8) afecta a la extensión Raw Image: basta con que Windows genere una miniatura de un archivo RAW manipulado, sin abrirlo.

Las puntuaciones más altas, 10 y 9,9, corresponden a servicios en la nube (Partner Center y Bookings) que Microsoft corrige del lado del servidor, sin que el cliente tenga que hacer nada. Y Dustin Childs, de ZDI, cuenta 59 fallos con potencial de propagarse como gusano.

¿Por qué hay tantas vulnerabilidades de golpe?

Porque la IA está acelerando el descubrimiento. Childs lo resume con una idea clara: la IA no crea los errores de la nada, solo acorta el tiempo entre que un fallo existe y alguien lo nota. "El volumen ya no es la historia", escribió. Lo que importa es que el descubrimiento escala más rápido que la explotación.

La progresión del año lo confirma: unas 200 vulnerabilidades en junio, 570 en julio, 974 en septiembre y más de 1.400 en octubre. Fuera de Microsoft pasa lo mismo: Google arregló más bugs de Chrome en junio que en los dos años anteriores juntos. Microsoft ya advirtió en julio que esperaba esta avalancha, en parte por su tecnología de escaneo agéntico multimodelo.

El dato que debería calmar los ánimos: según Tyler Reguly, de Fortra, solo 26 de los CVE de Microsoft de 2026 han llegado al catálogo KEV de CISA, frente a 30 el año pasado y 32 el anterior. Menos del 1% de lo parcheado este año se sabe explotado.

El desgaste, en cambio, es real. Una investigación de Socura citada por Infosecurity Magazine encontró que el 22% de los CISO del Reino Unido ha pedido baja o vacaciones para evitar el Patch Tuesday.

¿Qué son los "risk cohorts" y por qué te importan?

Microsoft estrenó este mes los "risk cohorts": agrupa los CVE por el tipo de entorno que afectan para que un equipo pequeño no tenga que triagear 1.400 entradas una por una. Algunos grupos: sistemas de archivos, almacenamiento y backup de Windows (136 CVE), gráficos y procesamiento de contenido (131), clientes de correo y documentos de Office (135), kernel y límites de privilegios (109), servicios de instalación y actualización (103), acceso remoto y RDP (65), autenticación y criptografía (61).

Son categorías no oficiales: no cambian la guía de actualización ni sustituyen el análisis de cada CVE. Microsoft las presenta como un punto de partida experimental y pide feedback para desarrollarlas.

¿Qué significa esto para tu startup?

1. Parchea CVE-2026-96951 antes que nada. Si tienes equipos Windows que reciben archivos de fuera — y casi todos los tienen —, esta es la única con explotación confirmada. Prioriza los sistemas que tocan archivos no confiables y comunicaciones externas.

2. No midas tu riesgo por el número de parches. Con más de 1.400 CVE, el triage por conteo es una trampa. Filtra por explotación activa, exposición a internet y criticidad del sistema. Los críticos de Outlook y los servicios expuestos (QUIC, DHCP, SharePoint) van después del zero-day.

3. Revisa si tu versión de Windows sigue soportada. Con esta tanda terminaron las actualizaciones de seguridad para Windows 11 24H2 en ediciones Home y Pro y para Windows 10 Enterprise LTSB 2016. El programa de Actualizaciones de Seguridad Extendidas (ESU) de Windows 10, que iba a expirar el 12 de octubre, se extendió un año más en junio.

4. Asume que los parches también fallan. La actualización de junio corrigió 208 fallos y metió cuatro bugs nuevos. Prueba en un anillo piloto antes de desplegar a toda la empresa: el volumen hace más probable que un parche rompa algo.

5. Automatiza el inventario. Sin un inventario de versiones y un canal de despliegue, 1.400 CVE se convierten en 1.400 decisiones manuales. Con uno, se convierten en un filtro que corre solo.

Conclusión

El récord asusta más de lo que debería y menos de lo que merece. Más de 1.400 vulnerabilidades corregidas no significan un Windows mil veces más inseguro: significan que ahora se encuentran fallos que antes pasaban desapercibidos. El problema real es operativo. Cada parche hay que probarlo y desplegarlo, y el volumen creciente castiga a los equipos que no tienen proceso. Para un equipo de IT con recursos limitados, la prioridad está clara: CVE-2026-96951 primero, los críticos de Outlook y los servidores expuestos después, y todo lo demás como ruido de fondo.

Fuentes

• Patch Tuesday de octubre: Microsoft corrige más de 1.400 vulnerabilidades (fuente original)
• Microsoft fixes 1,400+ vulnerabilities in October
• Microsoft Fixes 1,413 Vulnerabilities in Record October Patch Tuesday Update
• Microsoft Breaks Patch Tuesday Record Again with 1400+ CVEs
• Microsoft fixes exploited Mark of the Web bypass vulnerability (CVE-2026-96951)
• Microsoft Patches Record 1,413 Vulnerabilities, Including Exploited Windows Zero-Day
• Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug