Seguridad · 16 de octubre de 2026
También publicado en हिन्दी, Indonesia, Norsk, Nederlands
Microsoft corrige 1.411 vulnerabilidades en su actualización de octubre de 2026
Microsoft ha lanzado su paquete de parches de seguridad mensual correspondiente a octubre de 2026, corrigiendo un total de 1.411 vulnerabilidades en sus productos. Esta cifra representa el mayor número de correcciones registradas en la historia de la empresa. El paquete incluye tres vulnerabilidades de día cero, de las cuales una ya estaba siendo explotada activamente en ataques reales y las otras dos habían sido reveladas públicamente antes de la publicación del parche.
Entre las vulnerabilidades corregidas, 70 fueron clasificadas como críticas. De estas, 57 permitían la ejecución remota de código, 11 implicaban la elevación de privilegios y 2 estaban relacionadas con el suplantación de identidad. Al analizar todas las vulnerabilidades por categoría, la elevación de privilegios fue la más común con aproximadamente 677 casos, seguida por la ejecución remota de código con 317, la divulgación de información con 254, la denegación de servicio con 73, el evasivo de funciones de seguridad con 40 y la suplantación de identidad con 28. Estas cifras no incluyen 348 vulnerabilidades adicionales que Microsoft corrigió previamente durante el mismo mes, afectando a servicios como Azure App Service, Azure Event Grid, Azure SRE Agent, Microsoft Dataverse y Microsoft Exchange Server.
La vulnerabilidad de día cero explotada activamente, identificada como CVE-2026-96951, es un evasivo de funciones de seguridad en Windows Shell. Se produce por un manejo incorrecto de elementos especiales en los comandos, lo que permite a un atacante no autorizado saltarse el mecanismo de seguridad Mark of the Web a través de la red. Microsoft no ha revelado detalles sobre cómo se está explotando esta vulnerabilidad ni quién la reportó. Las otras dos vulnerabilidades de día cero son CVE-2026-108398, un problema de ruta de búsqueda no confiable en .NET Framework que permite a un atacante autenticado colocar un ensamblado especial para evadir Windows Defender Application Control, y CVE-2026-92707, una denegación de servicio en MessagePack-CSharp causada por una gestión inadecuada de la reserva de memoria continua.
Esta actualización marca el final del soporte para Windows 11 24H2 en sus ediciones Home y Pro, así como para Windows 10 Enterprise LTSB 2016, que dejan de recibir actualizaciones de seguridad el 13 de octubre de 2026. Además, las ediciones Enterprise, Education e IoT Enterprise de Windows 11 23H2 dejarán de recibir parches a partir de noviembre de 2026. Microsoft ha comenzado a probar un nuevo enfoque llamado risk cohorts, que agrupa vulnerabilidades similares para ayudar a las organizaciones a priorizar las correcciones. En esta ronda se formaron 15 grupos, incluyendo 136 vulnerabilidades en almacenamiento y copia de seguridad de Windows, 135 en documentos de Office y clientes de correo, 131 en gráficos y procesamiento multimedia, 109 en límites de privilegios del núcleo de Windows y 103 en servicios de instalación y actualización. La empresa aclaró que esta agrupación no indica qué grupo es más peligroso, ya que el riesgo real depende del estado de explotación, la gravedad y el uso específico de cada organización. Este método sigue siendo experimental y no reemplaza las recomendaciones de parcheo tradicionales.