La actualización de octubre de Microsoft bate récords e incluye una vulnerabilidad del shell de Windows que ya está siendo explotada. Los usuarios y las empresas deben priorizar la instalación de los parches para reducir el riesgo de intrusiones, robo de información y ejecución de código malicioso.
La seguridad de Windows afronta un nuevo aviso de gran alcance. Microsoft ha publicado una de sus mayores actualizaciones de seguridad hasta la fecha, con 1 413 vulnerabilidades corregidas en sus productos. Entre ellas figura un fallo del shell de Windows que, según la propia compañía, ya se está utilizando en ataques reales.
El volumen de errores detectados vuelve a poner sobre la mesa una cuestión incómoda para el sector tecnológico: ¿están las empresas y los usuarios preparados para responder a un ritmo de descubrimiento de vulnerabilidades cada vez más rápido? La inteligencia artificial (IA) puede acelerar la detección de fallos, pero también obliga a reforzar la capacidad de reacción de los equipos de seguridad.
Microsoft Patch Tuesday: 1 413 vulnerabilidades corregidas en octubre
Microsoft publicó el 13 de octubre de 2026 su paquete mensual de actualizaciones, conocido como Patch Tuesday. La revisión afecta a distintos productos y componentes del ecosistema de la compañía, desde Windows y Office hasta herramientas de desarrollo, SharePoint Server y SQL Server.
Según los datos recogidos por The Hacker News a partir de la información de Microsoft, el reparto de vulnerabilidades es el siguiente:
- Windows: 1 102 vulnerabilidades.
- Microsoft Office: 134.
- Herramientas para desarrolladores: 61.
- SharePoint Server: 36.
- SQL Server: 22.
La suma de estas categorías no alcanza el total de 1 413, por lo que el desglose no debe interpretarse como una relación exhaustiva de todos los productos afectados.
El dato más preocupante no es únicamente el volumen. Más de 670 fallos están relacionados con la escalada de privilegios, una técnica que permite a un atacante obtener permisos superiores a los que tenía inicialmente. También se contabilizan más de 300 vulnerabilidades de ejecución remota de código y alrededor de 250 relacionadas con la divulgación de información.
Además, más de 70 vulnerabilidades han sido clasificadas como críticas. Esa categoría identifica fallos que pueden tener consecuencias especialmente graves, aunque el riesgo concreto depende de factores como la configuración del equipo, la exposición del servicio y las condiciones necesarias para explotar el error.
La actualización exige, por tanto, algo más que una instalación rutinaria. Las organizaciones necesitan identificar qué sistemas están afectados, qué vulnerabilidades pueden explotarse en sus entornos y qué correcciones deben desplegar primero.
El fallo del shell de Windows que ya se explota en ataques
La vulnerabilidad que concentra buena parte de la atención es la CVE-2026-96951, que Microsoft ha calificado como objeto de explotación activa. Su puntuación de gravedad es de 8,8 sobre 10 en la escala CVSS, según la información publicada en la fuente original.
El fallo afecta a Windows Shell y puede permitir que un atacante eluda una función de seguridad mediante un ataque a través de una red. Microsoft también advierte de que la vulnerabilidad puede utilizarse para sortear las defensas de Marca de la Web (Mark of the Web o MOTW).
Esta protección sirve para identificar archivos procedentes de determinadas ubicaciones externas, como Internet, y ayudar a Windows y a las aplicaciones compatibles a aplicar advertencias o restricciones de seguridad. Eludirla puede reducir las barreras que impiden ejecutar contenido potencialmente peligroso.
Cómo podría producirse el ataque
Microsoft describe un escenario en el que el atacante prepara un archivo especialmente diseñado y consigue que la víctima lo reciba por correo electrónico o mensajería instantánea. También podría intentar dirigirla a una página web bajo su control.
La vulnerabilidad no implica que un atacante pueda obligar automáticamente a cualquier usuario a abrir contenido malicioso. La ingeniería social puede ser una pieza decisiva del ataque, ya que la víctima tendría que realizar alguna acción para activar el escenario descrito.
Sin embargo, la necesidad de engañar al usuario no elimina el peligro. Los archivos adjuntos, los enlaces fraudulentos y los mensajes que suplantan a empresas o contactos conocidos siguen siendo vías habituales para intentar comprometer equipos.
Microsoft ha reconocido a varios investigadores por comunicar el fallo, entre ellos Riku Bamba y Yuya Chudo, de Fujitsu; Benoit Sevens, de Anthropic, y un investigador identificado como yhw.
Por el momento, la información publicada no permite establecer con certeza quién está explotando la vulnerabilidad, qué objetivos ha seleccionado ni qué campañas concretas la utilizan. Que exista explotación activa confirma la necesidad de actuar, pero no demuestra por sí solo que un dispositivo determinado haya sido atacado.
CISA incluye el fallo en su catálogo de vulnerabilidades explotadas
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha incorporado la CVE-2026-96951 a su catálogo de Vulnerabilidades Explotadas Conocidas, conocido como KEV.
Este registro identifica vulnerabilidades para las que existen pruebas de explotación en el mundo real y sirve como referencia para priorizar las medidas de protección. En este caso, la agencia ha fijado el 16 de octubre de 2026 como fecha límite para que las agencias federales estadounidenses apliquen la corrección, según la información difundida.
La fecha es especialmente relevante para los organismos públicos afectados, aunque no debe confundirse con un plazo universal que se aplique automáticamente a todos los usuarios particulares o a todas las empresas privadas.
La inclusión en el catálogo KEV refuerza la urgencia de instalar la actualización correspondiente. Cuando una vulnerabilidad ya se está explotando, mantener sistemas sin corregir puede ofrecer a los atacantes una oportunidad que no existiría en equipos correctamente actualizados.
Otro fallo de .NET puede sortear las restricciones de Windows Defender
La segunda vulnerabilidad destacada es la CVE-2026-108398, con una puntuación CVSS de 8,8. Según Microsoft, el fallo afecta a .NET Framework y permite eludir una función de seguridad de forma local.
La vulnerabilidad era de conocimiento público cuando se publicó la actualización. Microsoft advierte de que un atacante autenticado podría colocar un ensamblado .NET especialmente diseñado en un sistema afectado y registrarlo para que lo cargue un proceso protegido.
El objetivo sería sortear las restricciones del Control de aplicaciones de Windows Defender (WDAC) y ejecutar código dentro de un proceso protegido. De acuerdo con la compañía, el ataque descrito no requiere interacción del usuario.
Esta característica resulta especialmente preocupante en escenarios en los que un atacante ya ha conseguido acceso a un equipo. En lugar de limitarse a la intrusión inicial, podría tratar de superar controles adicionales para ampliar su capacidad de actuación.
El investigador James Forshaw, de Google Project Zero, figura entre los responsables del descubrimiento reconocidos por Microsoft.
Mike Walters, presidente y cofundador de Action1, considera que este tipo de vulnerabilidad es especialmente peligrosa como técnica posterior a una intrusión, porque puede debilitar las restricciones existentes sin necesidad de que el usuario intervenga de nuevo.
El riesgo final dependerá de las condiciones del sistema afectado y de los permisos disponibles para el atacante. No obstante, el caso demuestra que la seguridad no termina cuando se bloquea el acceso inicial: también es necesario impedir que una cuenta o un proceso comprometidos puedan sortear las defensas internas.
MessagePack-CSharp: un fallo que puede provocar una denegación de servicio
La tercera vulnerabilidad citada en la información original es la CVE-2026-92707, con una puntuación CVSS de 5,3. Está relacionada con una asignación de memoria secuencial controlada incorrectamente en MessagePack-CSharp.
Según la descripción publicada, un atacante no autenticado podría explotar el fallo a través de una red para provocar una denegación de servicio.
Este tipo de ataque busca interrumpir o degradar el funcionamiento de una aplicación o servicio, en lugar de obtener necesariamente acceso a los datos o ejecutar código en el sistema afectado. Sus consecuencias pueden ir desde una interrupción temporal hasta problemas operativos más importantes, según el servicio y su exposición.
La información de origen contiene una inconsistencia en los enlaces asociados a las referencias CVE-2026-108398 y CVE-2026-92707. Por ello, conviene comprobar los identificadores, las puntuaciones y las descripciones directamente en las fichas oficiales antes de utilizar estos datos como referencia técnica definitiva.
Una vulnerabilidad crítica en Raw Image Extension puede activarse al generar una miniatura
El paquete de octubre también incluye una vulnerabilidad ajena al conjunto principal de fallos de Microsoft: CVE-2026-21413, con una puntuación CVSS de 9,8 sobre 10.
El problema es un desbordamiento de búfer basado en el montón que afecta a Raw Image Extension y que podría permitir la ejecución remota de código.
Según la descripción atribuida a Microsoft, el atacante tendría que convencer a la víctima para que accediera a una carpeta que contuviera un archivo de imagen RAW especialmente diseñado. La vulnerabilidad podría activarse cuando Windows generase una miniatura o una vista previa.
El usuario no tendría que abrir manualmente la imagen para que se produjera el escenario descrito. Esta circunstancia amplía las posibles vías de exposición, ya que la simple navegación por una carpeta podría desencadenar el procesamiento del archivo por parte del componente vulnerable.
Por esa razón, las organizaciones que utilizan flujos de trabajo con imágenes RAW deberían comprobar si tienen instalado el componente afectado y aplicar la corrección correspondiente.
La puntuación de 9,8 indica una gravedad potencial muy elevada, pero no significa que todos los equipos sean vulnerables ni que se haya demostrado la explotación de este fallo en ataques reales. Es importante distinguir entre la gravedad técnica de una vulnerabilidad y la existencia confirmada de ataques que la aprovechen.
La inteligencia artificial acelera la búsqueda de fallos de seguridad
El récord de octubre se produce en un momento en el que la inteligencia artificial está cambiando los procesos de investigación en ciberseguridad.
Dustin Childs, responsable de Concienciación sobre Amenazas de la Zero Day Initiative (ZDI), sostiene que la IA contribuye a acelerar la identificación de errores. La tecnología puede ayudar a encontrar defectos en el código, analizar grandes cantidades de información y reducir el tiempo necesario para detectar problemas.
Pero esa capacidad no opera en una sola dirección. Las mismas herramientas que ayudan a los investigadores a localizar vulnerabilidades también pueden acelerar el trabajo de los atacantes, lo que aumenta la presión para corregir los fallos antes de que sean utilizados contra sistemas reales.
La IA no crea necesariamente vulnerabilidades desde cero. Puede hacer más eficiente la búsqueda de errores que ya existen y reducir el intervalo entre su descubrimiento y su identificación por terceros.
Por eso, contar vulnerabilidades no basta para evaluar la seguridad de una empresa. Un fallo de menor gravedad que ya se esté explotando contra sistemas expuestos puede exigir una respuesta más inmediata que otro más severo cuya explotación sea difícil y para el que no existan ataques conocidos.
El volumen, sin embargo, sí plantea un desafío operativo: los equipos informáticos tienen que evaluar y desplegar cada vez más correcciones, sin descuidar la continuidad del negocio ni provocar interrupciones evitables.
Microsoft introduce las «cohortes de riesgo» para priorizar los parches
Junto con las actualizaciones de octubre, Microsoft ha presentado un sistema para ayudar a las organizaciones a ordenar las tareas de corrección: las denominadas cohortes de riesgo.
El mecanismo agrupa vulnerabilidades que requieren una evaluación similar por parte de los responsables de seguridad. La idea es facilitar una primera clasificación y ayudar a determinar qué conjuntos de fallos necesitan atención prioritaria.
Microsoft aclara que estas agrupaciones son un punto de partida, no una decisión definitiva. Las organizaciones deben seguir revisando cada vulnerabilidad y tener en cuenta factores como:
- La existencia de explotación activa.
- La gravedad y el impacto potencial.
- El vector de ataque y la exposición del sistema.
- La necesidad de interacción del usuario.
- El producto y la versión afectados.
- Las instrucciones específicas de seguridad publicadas por Microsoft.
Este enfoque puede resultar útil en empresas que gestionan cientos o miles de dispositivos, donde aplicar todas las actualizaciones de forma simultánea no siempre es posible.
No obstante, una clasificación automática no sustituye el análisis técnico. Las prioridades deben ajustarse a la realidad de cada organización: un servidor expuesto a Internet, un equipo que maneja datos sensibles y un dispositivo aislado pueden presentar niveles de riesgo muy diferentes.
Microsoft ya había corregido cerca de 1 000 vulnerabilidades en septiembre
La cifra de octubre tampoco aparece de forma aislada. Según The Hacker News, Microsoft corrigió 974 vulnerabilidades en septiembre de 2026. Además, Satnam Narang, ingeniero sénior de investigación de Tenable, señaló que la compañía había corregido más de 4 000 vulnerabilidades durante el año.
Estos datos muestran la magnitud del trabajo de mantenimiento que afrontan los grandes fabricantes de software. También ponen de relieve la importancia de mantener inventarios actualizados de equipos, aplicaciones y componentes, porque no es posible corregir eficazmente aquello que una organización desconoce que utiliza.
Adam Barnett, ingeniero jefe de software de Rapid7, ha advertido de que el gran volumen de fallos puede incluir vulnerabilidades que, si se presentaran de forma aislada, recibirían una atención mucho mayor.
El peligro es que la saturación de avisos lleve a tratar todas las actualizaciones como una tarea rutinaria. La respuesta eficaz no consiste en ignorar el volumen, sino en distinguir rápidamente los fallos explotados, los críticos y los que afectan a sistemas realmente expuestos.
Qué deben hacer los usuarios y las empresas para proteger sus equipos
La recomendación principal es comprobar e instalar las actualizaciones de seguridad de octubre de 2026 que correspondan a cada dispositivo y producto. Los pasos concretos dependen de la versión de Windows, las aplicaciones instaladas y las políticas de administración de cada equipo.
Para usuarios particulares
- Buscar actualizaciones de Windows desde Configuración y Windows Update.
- Instalar las actualizaciones disponibles y reiniciar el equipo cuando sea necesario.
- Comprobar las actualizaciones de Microsoft Office y de otras aplicaciones instaladas.
- Revisar las aplicaciones opcionales y extensiones relacionadas con imágenes, incluido Raw Image Extension si está presente.
- Evitar abrir archivos inesperados o pulsar enlaces sospechosos, incluso cuando parezcan proceder de contactos conocidos.
- Mantener activadas las protecciones de seguridad y utilizar una solución antimalware actualizada.
Para empresas y administradores de sistemas
- Identificar los activos afectados, incluidas estaciones de trabajo, servidores y componentes adicionales.
- Priorizar la CVE-2026-96951 por su explotación activa comunicada por Microsoft y revisar la aplicación de los parches.
- Comprobar la exposición a la CVE-2026-108398 en sistemas que utilizan .NET Framework y WDAC.
- Evaluar los componentes afectados por CVE-2026-21413 y aplicar la actualización pertinente.
- Probar los parches en entornos controlados cuando la criticidad del servicio lo requiera, sin retrasar innecesariamente las correcciones urgentes.
- Supervisar posibles indicadores de compromiso y revisar los registros de seguridad si existen señales de actividad sospechosa.
- Documentar las excepciones y fijar plazos internos de corrección según el riesgo.
Las organizaciones deben consultar el Microsoft Security Response Center (MSRC) para verificar los productos afectados, las versiones vulnerables y las actualizaciones aplicables. Las fichas técnicas oficiales son la referencia para determinar qué parche necesita cada sistema.
Un récord que obliga a cambiar la forma de gestionar la ciberseguridad
La actualización de octubre deja una conclusión clara: la seguridad informática ya no puede depender únicamente de instalar parches cuando hay tiempo disponible. Con miles de vulnerabilidades corregidas en lo que va de año y nuevas herramientas capaces de acelerar su descubrimiento, la gestión de riesgos se ha convertido en una tarea permanente.
El fallo del shell de Windows que Microsoft reconoce como explotado activamente merece una atención inmediata. A él se suman vulnerabilidades que pueden facilitar la ejecución de código, eludir controles de seguridad o interrumpir servicios.
La inteligencia artificial puede ayudar a descubrir errores con mayor rapidez, pero también reduce el margen de reacción de quienes deben proteger los sistemas. La ventaja no estará en acumular más avisos, sino en detectar las amenazas relevantes, instalar las correcciones prioritarias y verificar que las defensas siguen funcionando.
Para usuarios y empresas, el mensaje es directo: conviene revisar cuanto antes las actualizaciones de octubre y no aplazar los parches que afecten a los equipos en uso. En ciberseguridad, la diferencia entre una vulnerabilidad conocida y una intrusión puede depender del tiempo que se tarde en corregirla.
Toqueteo
Toqueteo
Toqueteo