El Patch Tuesday récord de Microsoft: 974 fallos, dos ya explotados

Microsoft publicó el 8 de septiembre de 2026 actualizaciones de seguridad para un número récord de 974 vulnerabilidades, la mayor entrega de Patch Tuesday de su historia. Dos de los fallos ya estaban siendo explotados en la naturaleza antes de que existiera un parche, y 113 recibieron la calificación de «críticos» por parte de Microsoft. La publicación abarca casi todos los rincones de su plataforma: Windows, Office, Exchange Server, SharePoint, SQL Server, Hyper-V, Visual Studio y sus servicios en la nube.

Lectura relacionada: El Patch Tuesday de Microsoft de octubre de 2026 marca un récord con 1.407 correcciones · El Patch Tuesday de agosto de Microsoft corrigió unos 400 fallos, y un incendio real.

Para los defensores, la cifra principal es a la vez alarmante y engañosa. El trabajo verdaderamente urgente de este mes se reduce a un pequeño conjunto de fallos: los dos días cero explotados, un puñado de errores críticos de ejecución remota de código y alrededor de 20 vulnerabilidades «gusano» que los investigadores contabilizan. El resto es un problema de priorización que se agudiza cada mes, impulsado en gran medida por el descubrimiento de vulnerabilidades asistido por IA.

Los dos fallos ya atacados

Ambas vulnerabilidades explotadas activamente son fallos de elevación de privilegios que permiten al atacante alcanzar el nivel SYSTEM, y Microsoft ha compartido pocos detalles sobre cualquiera de ellas.

La primera, CVE-2026-85880, es un desbordamiento de búfer basado en montículo en Windows Advanced Local Procedure Call (ALPC). El aviso de Microsoft señala que un atacante capaz de ejecutar código en un AppContainer de bajos privilegios podría usar el fallo para escapar del sandbox y elevar privilegios, y añade que «No additional user interaction is required». La CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas y dio a las agencias federales hasta el 22 de septiembre para parchearla. Es solo el segundo día cero en ALPC que Microsoft ha tenido que corregir desde enero de 2023.

La segunda, CVE-2026-81963, es un fallo de resolución incorrecta de enlaces («link following») en Windows Update Stack, el componente que instala las actualizaciones. Es el primer fallo de Update Stack en cinco años que Microsoft confirma que está siendo explotado. Ambos errores se atribuyeron tanto a investigadores externos como a equipos del propio Microsoft, y ambos otorgan acceso a nivel SYSTEM.

Dustin Childs, de Zero Day Initiative, advirtió de que CVE-2026-81963 probablemente «being combined with a code execution bug to spread malware or ransomware», es decir, combinado con un fallo de ejecución de código para propagar malware o ransomware, y aconsejó: «Patch this one quickly».

De dónde salen los 974

Las notas de versión de Microsoft y el análisis de Qualys desglosan la entrega de septiembre en 438 fallos de elevación de privilegios, 253 de ejecución remota de código, 173 de divulgación de información, 56 de denegación de servicio, 19 de omisión de funciones de seguridad y 16 de suplantación. Por producto, SecurityWeek informa de que unos 723 problemas afectan a Windows, 222 a Office (incluidos 111 solo en Office 2016), 62 a SQL Server, 22 a herramientas de desarrollo, 16 a SharePoint Server, 12 a Azure, 10 a Skype for Business y nueve a Exchange Server.

Esa distribución indica dónde está la exposición. La ejecución remota de código y la elevación de privilegios son las categorías más importantes y dominan la publicación. Los dos fallos explotados caen en la segunda categoría, por lo que son peligrosos sobre todo como segunda fase, después de que un atacante ya haya entrado.

Más allá de los días cero: Exchange, SharePoint y fallos «gusano»

Incluso dejando de lado los días cero, septiembre incluye parches de alta prioridad que exigen planificación en lugar de un despliegue rutinario.

El más importante, según Childs, es CVE-2026-55007, un fallo de ejecución remota de código en Exchange Server. Un atacante no autenticado puede desencadenarlo enviando un correo con un archivo adjunto de Visio malicioso; el código se ejecuta cuando el servidor procesa el adjunto durante la indización de contenido, sin interacción del usuario. Microsoft dice que el fallo es «difficult to reliably trigger», pero la réplica de Childs es contundente: «The attacker only needs to get it right once. Schedule your downtime and update your Exchange servers with haste». En total, Microsoft corrigió nueve fallos de Exchange Server este mes.

Los investigadores también señalan CVE-2026-80097, una elevación local de privilegios en Microsoft Authenticator que Childs calificó como el peor tipo de escalada porque abusa del propio sistema de autenticación; CVE-2026-69465, uno de unos 17 fallos distintos de SharePoint que permiten ejecución remota de código; y CVE-2026-65669, uno de los aproximadamente 60 fallos de elevación de privilegios en SQL Server que pueden desencadenarse a través de SQL Copilot. Ars Technica recopiló los puntos destacados.

Childs contabiliza 20 fallos este mes que son «gusano», es decir, explotables de forma remota sin autenticación ni interacción del usuario. Varios tienen una puntuación CVSS casi máxima de 9,8, incluidos errores en Windows DNS Server, DHCP Server, Remote Desktop Services, el controlador NFS y el shell de Windows. Ese tipo de fallo es lo que convierte un ciclo mensual de parches en una ventana de mantenimiento real y no en una casilla que marcar.

El problema del volumen por IA

El contexto más importante de la cifra de septiembre es que no es una anomalía. Los totales mensuales de Microsoft se han disparado en 2026: de unos 200 fallos en junio, entonces un récord, a unos 570 en julio, unos 400 en agosto y ahora 974 en septiembre. Según el recuento de Krebs on Security, septiembre eleva el total de Microsoft en 2026 a más de 2.600 fallos, más del doble de su anterior récord anual de 1.245, establecido en 2020, y aún quedan tres meses.

Microsoft ha sido inusualmente directa sobre la causa. En una entrada de blog de julio, el vicepresidente ejecutivo Pavan Davuluri dijo a los usuarios de Windows que esperaran «a higher volume of security updates included in each security release» porque la IA estaba acelerando el descubrimiento de vulnerabilidades. La compañía ha desplegado sistemas de descubrimiento impulsados por IA, y los resultados se ven en el número de parches.

La industria de la seguridad aún debate qué significa eso. Satnam Narang, de Tenable, ofreció el encuadre más citado del mes: «AI-assisted vulnerability discovery in 2026 is creating larger haystacks, but it isn't finding more needles». Su idea es que la mayoría de los 974 fallos nunca importarán a una organización concreta, porque no son alcanzables ni explotables en ese entorno.

Childs llega a una conclusión similar pero más prudente. «AI-assisted vulnerability discovery shows no signs of slowing down», escribió. «However, we have not seen a correlating spike in active exploits—yet».

El tema de la IA no se limita al descubrimiento de vulnerabilidades. El mismo día del Patch Tuesday, el equipo de Microsoft Edge publicó una entrada en la que describía cómo la programación asistida por IA había provocado una avalancha de extensiones de navegador enviadas para revisión. The Register informó de que el equipo admitió que su flujo de revisión estaba «experiencing additional strain», es decir, bajo una tensión adicional, y que su respuesta fue automatizar más comprobaciones repetitivas. Es el segundo equipo de Microsoft en un mes que dice que la producción generada por IA supera su capacidad de gestión: el equipo de Exchange ya había retrasado una actualización acumulativa después de que el descubrimiento asistido por IA produjera más errores de los que podía procesar.

La realidad operativa de 974 parches

Para la mayoría de los usuarios domésticos, la respuesta práctica es la de siempre: dejar que Windows Update se ejecute. La pregunta más importante es qué hacen las empresas con un mes que les entrega casi mil correcciones de golpe.

Las pruebas siguen siendo el cuello de botella. A diferencia de los consumidores, las empresas no pueden simplemente instalar las actualizaciones y seguir adelante, porque el software de terceros a menudo se rompe cuando cambia el sistema operativo subyacente. Tyler Reguly, de Fortra, lo expresó con contundencia: «It's time to put our CISOs and CSOs on notice... How are you helping your teams through these difficult times?». Señaló que muchos administradores parchearán fuera del horario laboral y los fines de semana para limitar las interrupciones, y sugirió que la solución pasa por «gift cards for extra coffee», una frase que hace gracia sobre todo porque es cierta.

El consenso emergente entre los defensores es dejar de tratar el Patch Tuesday como una única cola y empezar a priorizar por alcanzabilidad y explotabilidad en lugar de por la gravedad bruta. Los dos días cero explotados y el fallo de Exchange van primero; el resto se clasifica según si el servicio afectado está realmente expuesto. Las calificaciones de explotabilidad de Microsoft, concebidas para un mundo de investigadores humanos, no han seguido el ritmo del descubrimiento impulsado por IA, y los analistas critican las suposiciones del modelo.

También hay consecuencias posteriores. A medida que crecían los volúmenes de parches, Microsoft ha abandonado las exhaustivas listas por CVE en las que confiaban algunos defensores y ha pasado a una tabla resumen más una sección de «Notable CVEs», un cambio que hace que los rastreadores de terceros sean más importantes, no menos. Y la escala ha llevado a otros proveedores a cambiar su cadencia: Google ahora publica actualizaciones de seguridad de Chrome cada dos semanas, y Adobe ha pasado a boletines quincenales.

Advertencias y el problema del recuento

Quien cite una sola cifra para septiembre debería hacerlo con cuidado. Las notas de versión de Microsoft, Zero Day Initiative, Qualys, The Register y Krebs on Security sitúan la cifra en 974. BleepingComputer cuenta 966 porque solo contabiliza los errores que Microsoft publicó el propio día del Patch Tuesday, excluyendo los 204 corregidos a principios de septiembre en Azure, Entra ID, Edge y otros servicios. Ars Technica cita unos 972. El rango refleja diferencias reales en lo que se cuenta, no discrepancias sobre la magnitud.

Dos advertencias más. Primera: no todos los fallos del lote son explotables de forma remota; una gran parte son errores locales de elevación de privilegios que exigen que el atacante ya tenga un punto de apoyo. Segunda: la esperada avalancha de ataques asistidos por IA aún no ha llegado con toda su fuerza. El miedo es asimétrico: el lado del descubrimiento ya funciona a velocidad de máquina, mientras que el de la explotación, por ahora, no.

Qué hay que observar

Tres cosas determinarán si septiembre se recuerda como un récord o como la nueva normalidad.

Primera: si la explotación sigue al volumen. Si los atacantes empiezan a weaponizar a escala los fallos descubiertos por IA, el argumento a favor de parchear más rápido se vuelve mucho más urgente. El «yet» de Childs hace mucho trabajo.

Segunda: si las prácticas de clasificación y divulgación de Microsoft aguantan el ritmo. La compañía ya está simplificando cuánto detalle publica; la contrapartida es que los defensores dependen más de agregadores y datos de exposición, que los equipos pequeños puede que no tengan.

Tercera: si los reguladores y las empresas ajustan sus ventanas de parcheo. Las agencias federales estadounidenses tienen hasta el 22 de septiembre para los dos días cero bajo la directiva vinculante de la CISA, pero la mayoría de las organizaciones privadas fijan sus propios plazos, y un ciclo mensual diseñado para unos cientos de errores se ve cada vez más forzado con casi mil.

El récord es real, y la carga de trabajo también. Para los defensores, la tarea de este mes no es parchear 974 cosas. Es encontrar el puñado que importa y poner el resto en un calendario.

Imagen de portada: el edificio 92 de la sede de Microsoft en Redmond, fotografiado por Coolcaesar (Wikimedia Commons), con licencia CC BY-SA 4.0; recortado a 16:9.