Patch Tuesday de octubre: Microsoft corrige 1.411 fallos

El Patch Tuesday de octubre de 2026 de Microsoft (la publicación mensual habitual de actualizaciones de seguridad de la compañía) corrige 1.411 vulnerabilidades, un nuevo récord. Tres de ellas son de día cero: una se está explotando activamente y dos se hicieron públicas antes de que hubiera un parche disponible.

Setenta de los fallos están calificados como "críticos". De ellos, 57 permiten la ejecución remota de código, 11 permiten la elevación de privilegios y 2 son problemas de suplantación.

Por categorías, la actualización incluye unos 677 fallos de elevación de privilegios, 317 de ejecución remota de código, 254 de divulgación de información, 73 de denegación de servicio, 40 de omisión de funciones de seguridad y 28 de suplantación.

La cifra total no incluye 348 fallos que Microsoft corrigió a principios de mes. Estos afectaban a servicios y productos como Azure App Service, Azure Event Grid, Azure SRE Agent, Microsoft Dataverse y Microsoft Exchange Server. Según BleepingComputer, este volumen récord llega en un momento en que Microsoft sigue recurriendo a plataformas de IA para encontrar y corregir vulnerabilidades en su software.

Fin del camino para algunas ediciones de Windows

Microsoft también confirmó que Windows 11 versión 24H2 Home y Pro, así como Windows 10 Enterprise LTSB 2016, se han quedado sin soporte.

"La actualización de seguridad mensual de octubre de 2026 es la última actualización disponible para estas ediciones", señaló la compañía.

A principios de octubre, Microsoft advirtió de que Windows 11 23H2 Enterprise, Education e IoT Enterprise dejarán de recibir actualizaciones de seguridad a partir del mes que viene. Se recomienda a las organizaciones que utilizan esas ediciones que actualicen.

El día cero que se está explotando

El fallo explotado activamente, CVE-2026-96951, permite omitir una función de seguridad en Windows Shell. Con él, los atacantes pueden saltarse Mark of the Web, la función de Windows que marca los archivos descargados de internet para que se traten con más precaución.

Microsoft lo describe como un problema de inyección de comandos que "permite a un atacante no autorizado omitir una función de seguridad a través de una red". La compañía no ha explicado cómo se ha utilizado el fallo en los ataques ni quién lo notificó.

Dos fallos divulgados públicamente

El primer día cero divulgado, CVE-2026-108398, afecta a .NET Framework. Se trata de un problema de ruta de búsqueda no fiable que puede utilizarse para eludir Windows Defender Application Control (WDAC), la función de Windows que limita qué aplicaciones pueden ejecutarse.

"Un atacante autenticado podría colocar un ensamblado .NET especialmente diseñado en un sistema afectado y registrarlo para que lo cargue un proceso protegido", explicó Microsoft. Si el ataque tiene éxito, el atacante podría ejecutar código dentro del proceso protegido, y no hace falta ninguna interacción del usuario. El fallo lo descubrió James Forshaw, de Google Project Zero.

El segundo, CVE-2026-92707, es un fallo de denegación de servicio en MessagePack-CSharp. Una asignación de memoria mal controlada en .NET permite a un atacante no autenticado dejar fuera de servicio un servicio a través de la red. Microsoft no ha dicho quién lo divulgó.

Agrupar los fallos en "cohortes de riesgo"

Ante el tamaño de esta actualización, Microsoft está probando una nueva forma de ayudar a los administradores a decidir qué parchear primero. Agrupa las vulnerabilidades relacionadas en "cohortes de riesgo" y ha publicado 15 para octubre.

Las cohortes más grandes abarcan los sistemas de archivos, el almacenamiento y las copias de seguridad de Windows (136 fallos), los documentos de Office y los clientes de correo (135), los gráficos, el contenido multimedia y el procesamiento de contenidos de Windows (131), los límites de privilegios del núcleo y el kernel de Windows (109), y los servicios de instalación, implementación y actualización de Windows (103).

Microsoft subrayó que una cohorte no indica qué fallos son los más peligrosos. El riesgo real sigue dependiendo de la explotación activa, la gravedad y el uso que cada organización haga del software. La compañía califica el enfoque de experimental y afirma que complementa, y no sustituye, sus recomendaciones actuales.

Otros fabricantes este mes

Microsoft no ha sido el único. Fortinet, Ivanti y SonicWall han corregido fallos que los atacantes estaban explotando, y Citrix ha solucionado un día cero en NetScaler identificado como CVE-2026-88779. Adobe, Atlassian, Cisco, Dell, Docker, GitLab, Kiteworks, Progress Software y SAP también han publicado actualizaciones de seguridad.

Nuestra valoración

Una actualización de más de 1.400 correcciones en un solo día supone una carga enorme para cualquier equipo de parcheo, y el salto desde los 966 fallos de septiembre apunta a que la búsqueda de errores asistida por IA ya está dando resultados a una escala que a los fabricantes les cuesta gestionar. El experimento de las cohortes de riesgo suena a reconocimiento de que las cifras brutas y las etiquetas de gravedad por sí solas ya no ayudan mucho a los defensores.

La prioridad inmediata sigue estando clara: la omisión de Mark of the Web se está explotando, y omisiones similares se han combinado a menudo con señuelos de phishing. Las fechas de fin de soporte también merecen atención, sobre todo junto a la caducidad del certificado de Windows Update que afectará a los equipos más antiguos. Habrá que ver si las cifras mensuales siguen subiendo y si las cohortes de Microsoft resultan lo bastante útiles como para convertirse en una parte permanente de sus recomendaciones.