Microsoft arregla 1411 vulnerabilidades en el Patch Tuesday de octubre 2026

Los parches de seguridad de octubre 2026 corrigen 70 vulnerabilidades clasificadas como críticas, 57 de ellas permiten ejecución remota de código, 11 elevan privilegios y 2 permiten suplantación.

Microsoft indica que el número total de vulnerabilidades excluye 348 fallas corregidas anteriormente en el mes, entre ellas fallas en Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server y Microsoft Partner Center.

Este Patch Tuesday marca un récord de vulnerabilidades corregidas mientras Microsoft emplea plataformas de inteligencia artificial para detectar y remediar fallas de seguridad en sus productos.

Microsoft anuncia que Windows 11 versión 24H2 Home y Pro, y Windows 10 Enterprise LTSB 2016 alcanzan fin de soporte el 13 de octubre 2026.

"Hoy, 13 de octubre 2026, Windows 11 versión 24H2 Home y Pro, y Windows 10 Enterprise LTSB 2016 alcanzan fin de actualizaciones. La actualización de seguridad mensual de octubre 2026 es la última disponible para estas ediciones," indica Microsoft.

Además, la empresa recomienda a los usuarios de Windows 11 23H2 Enterprise, Education e IoT Enterprise actualizar a versiones más recientes, pues a partir del próximo mes dejarán de recibir actualizaciones de seguridad.

Microsoft también publica informes detallados sobre las actualizaciones acumulativas KB5127648 y KB5126653 para Windows 11, y KB5126657 para Windows 10.

En este Patch Tuesday se corrigen una vulnerabilidad activamente explotada y dos vulnerabilidades cero‑día divulgadas públicamente.

Las vulnerabilidades cero‑día activamente explotadas son:

CVE-2026-96951 - Vulnerabilidad de bypass de característica de seguridad del Shell de Windows

Microsoft parchea una vulnerabilidad de bypass de seguridad que permite a atacantes eludir la característica "Mark of the Web" mediante un fallo de neutralización adecuada en el Shell de Windows.

"Elementos especiales no neutralizados usados en un comando (inyección de comandos) en el Shell de Windows permiten a un atacante no autorizado eludir una característica de seguridad a través de red," advierte Microsoft.

Microsoft no ha revelado detalles de cómo los atacantes explotaron la falla ni quién la divulgó.

Las dos vulnerabilidades cero‑día divulgadas públicamente son:

CVE-2026-108398 - Vulnerabilidad de bypass de característica de seguridad de .NET Framework

Microsoft corrige un bypass de característica de seguridad en .NET Framework que permite ejecutar aplicaciones no autorizadas.

"Ruta de búsqueda no confiable en .NET Framework permite a un atacante autorizado eludir una característica de seguridad local," explica Microsoft.

Esta falla podría permitir a atacantes eludir la política de control de aplicaciones de Windows Defender y ejecutar código no autorizado.

"Un atacante autenticado podría colocar una ensambladura .NET especialmente diseñada en un sistema afectado y registrarla para cargarla por un proceso protegido," detalla Microsoft.

"La explotación exitosa podría eludir las restricciones de Windows Defender Application Control y ejecutar código dentro del proceso protegido sin interacción del usuario."

James Forshaw de Google Project Zero descubrió la vulnerabilidad.

CVE-2026-92707 - Vulnerabilidad de denegación de servicio en MessagePack-CSharp

Microsoft soluciona una vulnerabilidad de denegación de servicio en la biblioteca MessagePack-CSharp.

"Asignación secuencial de memoria no controlada en .NET permite a un atacante no autorizado negar servicio a través de red," explica Microsoft.

No se ha divulgado públicamente quién reportó la vulnerabilidad.

Microsoft ha publicado un mapeo PDF que relaciona cada vulnerabilidad con su respectivo grupo de riesgo.

El nuevo método de agrupación de vulnerabilidades, llamado "cohortes de riesgo", permite a las organizaciones priorizar parches al agrupar fallas relacionadas.

En octubre 2026 se definieron 15 cohortes de riesgo, entre ellas 136 vulnerabilidades que afectan sistemas de archivos, almacenamiento y copias de seguridad, 135 que afectan documentos y clientes de correo de Office, 131 que afectan gráficos, medios y procesamiento de contenido de Windows, 109 que afectan los límites de privilegios núcleo y kernel de Windows, y 103 que afectan procesos de instalación, despliegue y actualización de Windows.

Microsoft aclara que estas cohortes no indican necesariamente la peligrosidad real de cada vulnerabilidad, pues el riesgo depende de su explotación activa, gravedad y uso del software afectado.

El informe de octubre 2026 incluye una lista completa de vulnerabilidades resueltas, aunque también contiene fallas corregidas anteriormente en el mes.

Microsoft advierte que, una vez que los atacantes poseen credenciales válidas, solo el 37 % de sus acciones son bloqueadas