El Patch Tuesday de Microsoft de octubre de 2026 marca un récord con 1.407 correcciones

Las actualizaciones de seguridad de Microsoft de octubre de 2026 llegaron el 13 de octubre con el mayor lote de correcciones que la empresa ha publicado en un solo mes. Tenable contó 1.407 CVE: 69 calificados como críticos, 1.337 importantes y uno bajo. CrowdStrike situó el total en 1.413, con 75 críticos. Es el segundo mes consecutivo que marca el récord, y el segundo seguido que entrega a los defensores más trabajo del que un ciclo mensual fue diseñado para soportar.

Lectura relacionada: El Patch Tuesday récord de Microsoft: 974 fallos, dos ya explotados · El Patch Tuesday de agosto de Microsoft corrigió unos 400 fallos, y un incendio real.

La cifra que más importa es mucho menor. Un fallo de esta entrega se explotó en la naturaleza antes de que existiera un parche: CVE-2026-96951, una omisión de una función de seguridad de Windows Shell con una puntuación CVSSv3 de 8,8. Un segundo, CVE-2026-108398, una omisión de una función de seguridad de .NET Framework, se divulgó públicamente antes de que hubiera una corrección lista. Resuelvan esos dos, y el resto de la lista se convierte en un ejercicio de clasificación más que en una emergencia.

Qué hace una omisión de una función de seguridad

Windows etiqueta los archivos que llegan de internet con un metadato llamado Mark of the Web. Esa etiqueta es la razón por la que Outlook abre un archivo adjunto descargado en Vista protegida en lugar de ejecutarlo, y por la que Windows pregunta antes de ejecutar un instalador bajado de la web. La etiqueta es una función de seguridad, y funciona adhiriendo una marca al archivo.

Una omisión no derriba un muro. Arranca la etiqueta que habría hecho que Windows fuera cauteloso con el archivo. En el caso de CVE-2026-96951, Microsoft dice que un atacante usa ingeniería social, por correo o mensaje, para convencer a un objetivo de abrir un archivo malicioso. Al abrirlo, este se cuela más allá de la comprobación de Mark of the Web, así que Windows trata el archivo como local y de confianza. El clic de la víctima es el exploit; la omisión solo importa si alguien abre el archivo.

Por eso los fallos de este tipo pueden ser más peligrosos de lo que sugieren sus puntuaciones. Un error de ejecución remota de código puede alcanzarse con un escáner que nunca pide permiso. Una omisión espera a una persona. CVE-2026-96951 es el tercer fallo de Windows Shell explotado en la naturaleza en 2026, después de CVE-2026-21510, parcheado en febrero, y CVE-2026-32202, parcheado en abril. Tres en diez meses es una tasa que merece seguimiento.

El segundo día cero ataca una idea similar en otra capa. CVE-2026-108398 es una omisión de una función de seguridad de .NET Framework, también puntuada con 8,8. Un atacante registra un ensamblado .NET malicioso para que un proceso protegido lo cargue, lo que burla Windows Defender Application Control, el mecanismo que restringe qué código puede ejecutarse. Se divulgó públicamente antes de que hubiera un parche, así que su estatus difiere del del fallo de shell: divulgación no es lo mismo que explotación confirmada.

Por qué la cifra sigue subiendo

La diferencia entre los 1.407 de Tenable y los 1.413 de CrowdStrike es una diferencia de clasificación, no una disputa sobre la escala. Las empresas trazan el límite de una entrega mensual en lugares distintos y agrupan los CVE relacionados de forma distinta. Rapid7 situó la porción solo de Windows en 1.102. Las actualizaciones tocaron 301 productos y componentes, lo que es de por sí una medida de lo amplia que es la entrega.

La composición dice más que el total. Por impacto, los fallos de elevación de privilegios representaron el 47,9 % de los CVE parcheados y la ejecución remota de código el 22,3 %. Los productos con más CVE fueron Microsoft Office Excel, con 69; el rol de servidor DNS, con 52, y el kernel de Windows, con 46.

Los errores de elevación de privilegios suelen necesitar que un atacante esté dentro de la red antes de poder usarlos, razón por la cual suelen funcionar como una segunda fase una vez que alguien ya tiene un punto de apoyo. Los fallos de ejecución remota de código son los que abren la puerta, y octubre tiene varios que merecen atención. El aviso del CCB belga encabeza su resumen con las 69 correcciones críticas de la entrega. Entre ellas: CVE-2026-70229, un fallo de ejecución remota de código de Windows Active Directory Domain Services con una puntuación CVSS de 8,1 que Microsoft marca como «explotación más probable»; CVE-2026-70571, un fallo de ejecución remota de código de Exchange Server con CVSS 8,1, y CVE-2026-70279, un fallo de suplantación de Exchange Server que puntúa 9,3.

La consecuencia práctica es que una única lista clasificada deja de ser útil. Un equipo que trabaje de arriba abajo por gravedad pasará la semana en correcciones simbólicas mientras el componente defectuoso que sí es alcanzable queda intacto. La clasificación basada en exposición plantea un conjunto más estrecho de preguntas: si el servicio afectado está expuesto a internet, si la organización usa el producto siquiera y si alguien ha visto el error usado en un ataque. Para la mayoría de los 1.407, la respuesta honesta es que no son alcanzables en un entorno dado. Por eso la cifra y la carga de trabajo no son el mismo número.

«Clasificar por el mero recuento de CVE en lugar de por la explotabilidad hace que se pierdan ciclos en los errores equivocados. Parcheen lo probado, lo priorizado y lo público, y traten todo lo demás como la nueva normalidad de este mes.» — Zero Day Initiative, The October 2026 Security Update Review, 13 de octubre de 2026

El experimento de las cohortes de riesgo de Microsoft

Ante el volumen, Microsoft introdujo en octubre una etiqueta nueva: las cohortes de riesgo. Las notas de versión de la compañía las describen como una forma exploratoria de ayudar a los clientes a organizar su propio análisis. Microsoft también dice que no son categorías oficiales de vulnerabilidad, que no cambian la guía de actualización de Microsoft y que no sustituyen la evaluación de los CVE individuales.

Tómese ese marco al pie de la letra. Una cohorte es un punto de partida para la propia clasificación de un defensor, no una calificación de gravedad frente a la que parchear. Llamarla exploratoria es la forma que tiene Microsoft de decir que la idea está en prueba y que la guía que hay debajo no se ha movido. Los equipos que adopten la función deberían tratarla como un dato más entre varios, y no dar por hecho que ha reemplazado las calificaciones de explotabilidad que Microsoft asigna desde hace años.

Una fecha límite de ciclo de vida el mismo día

No todo lo que ocurrió el 13 de octubre tuvo que ver con vulnerabilidades. La misma fecha marcó el final del último año de actualizaciones de seguridad extendidas para Windows Server 2012 y 2012 R2, el final del soporte principal de Windows Server 2022 y el final del soporte de Office 2021 y varios otros productos.

Para quien siga ejecutando Windows Server 2012 o 2012 R2, la consecuencia es directa. Esos sistemas se han mantenido vivos con actualizaciones de seguridad extendidas, y el último de esos años ya se ha cerrado. Los futuros Patch Tuesday no incluirán correcciones para ellos, así que cada mes añade exposición sin añadir remedio. Windows Server 2022 y Office 2021 se sitúan en un punto distinto: el fin del soporte principal cambia el tipo de soporte que reciben, y su mantenimiento de seguridad continúa según su propio calendario. El solapamiento es fácil de pasar por alto en un día dominado por un recuento de CVE de cuatro cifras, y tiene la cola más larga.

La realidad operativa

Las notas de versión de Microsoft siguen siendo el punto de partida, pero una entrega de este tamaño traslada la clasificación real al análisis independiente. Tenable, CrowdStrike, la Zero Day Initiative y organismos nacionales como el CCB belga publican sus propias lecturas en el plazo de un día, y cada uno destaca una lista corta ligeramente distinta. Para un equipo de seguridad pequeño, el solapamiento es donde está la señal útil: cuando varios rastreadores nombran el mismo puñado de fallos, esos son los que hay que programar primero.

La escala también conlleva un coste que nunca aparece en un total de CVE. Cada producto con una corrección es otro componente que probar y otra posibilidad de que un cambio rompa algo no relacionado. Las empresas por lo general no pueden instalar y seguir adelante; prueban y preparan las actualizaciones por fases antes de desplegarlas. Un mes que toca 301 productos y componentes tensa esa cadena de trabajo, por bien gestionada que esté.

Salvedades

Cite cualquier cifra de octubre con su método de recuento adjunto. Tenable cuenta 1.407, CrowdStrike 1.413 y Rapid7 informa de una porción solo de Windows de 1.102. La diferencia refleja distintas decisiones de clasificación, no un desacuerdo sobre si la entrega es grande. Los tres partieron de las propias notas de Microsoft.

Se aplican dos límites más. No todos los fallos del lote pueden alcanzarse de forma remota, y el grupo de elevación de privilegios, cerca de la mitad de la entrega, suele necesitar primero un punto de apoyo existente. Y los dos días cero no son riesgos intercambiables. Uno se explotó en la naturaleza; el otro fue público antes de que existiera un parche. Asignar a ambos la misma urgencia exagera uno de ellos.

Qué hay que vigilar

Tres cosas decidirán si octubre se recuerda como un caso atípico o como el nuevo suelo.

Si la explotación sigue a la cifra. Solo un fallo de este mes es un caso confirmado en la naturaleza, y un segundo es de conocimiento público. Si más de los 1.407 aparecen en ataques, el argumento para parchear más rápido se vuelve mucho más difícil de rebatir.

Si las cohortes de riesgo sobreviven al contacto con los defensores. Microsoft ha dejado claro que la función es exploratoria y que no cambia nada en su guía. La adopción en las próximas entregas mostrará si la idea ayuda a los equipos a ordenar una avalancha mensual o solo añade otra etiqueta que interpretar.

Si el récord se mantiene. Este es el segundo mes consecutivo en un nuevo máximo. Si noviembre lo supera otra vez, la presión sobre las ventanas de parcheo, las cadenas de prueba y la planificación del ciclo de vida seguirá creciendo, y la pregunta de cómo debe ser una cadencia mensual sensata se hará más fuerte.

Para la mayoría de la gente la instrucción sigue siendo sencilla: dejen que Windows Update se ejecute y reinicien cuando lo pida. Para los equipos que no pueden hacerlo, el trabajo real de octubre es una lista corta. Parcheen primero la omisión de shell, sopesen los fallos de Exchange y Active Directory frente a su exposición, y pongan el resto en un calendario que puedan defender.

Crédito de imagen: «Building92microsoft.jpg», de Coolcaesar, CC BY-SA 4.0, vía Wikimedia Commons.