Microsoft ha publicado el parche de octubre de Windows y lo ha hecho con correcciones clave: 1.411 vulnerabilidades corregidas en un solo día, entre ellas tres zero-days, uno de los cuales ya estaba siendo explotado. La cifra también es récord en fallos críticos, con 70 corregidos al mismo tiempo. Te contamos todos los detalles. Cada segundo martes de mes, Microsoft publica su Patch Tuesday: el conjunto de actualizaciones de seguridad que corrige los fallos detectados en Windows, Office y el resto de su ecosistema.
Durante la noche de ayer, se publicó una actualización muy importante, puesto que corregía 1.411 vulnerabilidades. Sin duda, una cifra que hace que merezca la pena la descarga de la nueva versión. La cifra supera el récord del mes pasado, fijado con casi un millar de fallos, y parte de la explicación está en la inteligencia artificial: Microsoft lleva meses usando estos modelos para cazar vulnerabilidades. El parche llega además en fecha señalada: Windows 11 24H2 Home y Pro y Windows 10 LTSB 2016 agotan su soporte, y esta es la última actualización que recibirán antes del salto de versión que la compañía ya avisó.
Más de 1.400 vulnerabilidades corregidas De los 1.411 fallos corregidos, 70 se consideran críticos: 57 permiten ejecución remota de código, 11 elevación de privilegios y 2 suplantación de identidad. Por lo tanto, existen muchas opciones que, en el corto o medio plazo, nuestro equipo se encontrase expuesto a este tipo de problemas de seguridad. Es importante tener en cuenta que, tal y como ha informado la propia Microsoft, la cifra solo incluye las vulnerabilidades publicadas durante el Patch Tuesday. Microsoft había corregido a lo largo del mes otras 348, en servicios como Azure o Exchange Server, que no entran en el total.
Aun con esa exclusión, el volumen de ayer es el mayor que la compañía ha publicado en un solo día desde que existe este sistema de parches mensuales. Tres zero days corregidos La parte más seria del parche son sus tres zero-days: vulnerabilidades que ya eran públicas o se explotaban antes de existir la corrección. La más delicada es la CVE-2026-96951, un fallo en Windows Shell que ya está siendo explotado de forma activa, según ha confirmado Microsoft. Permite a un atacante saltarse la función Mark of the Web, el mecanismo que marca los archivos descargados de Internet para que Windows los trate con especial atención.
Según el aviso de la compañía, el fallo consiste en una inyección de comandos en Windows Shell que permite a un atacante no autorizado omitir una función de seguridad a través de la red. Microsoft no ha dado detalles sobre cómo se ha explotado ni quién la reportó, algo habitual en estos casos para no facilitar nuevos ataques mientras los equipos se actualizan. No obstante, lo que está claro es que es lo suficientemente importante como para querer acabar con él cuanto antes. Los otros dos zero-days se conocían previamente, pero no hay constancia de explotación.
La CVE-2026-108398 es una omisión de funciones de seguridad en .NET Framework que permite ejecutar aplicaciones no autorizadas, y la CVE-2026-92707 es un fallo de denegación de servicio en MessagePack-CSharp, relacionado con el anterior. La actualización se está distribuyendo a través de Windows Update, como siempre. Y, además, ha servido para advertir que las ediciones Enterprise, Education e IoT Enterprise de Windows 11 23H2 dejarán de recibir actualizaciones de seguridad a partir del próximo mes.
