Síntesis
El “Patch Tuesday” (la actualización mensual de seguridad de Microsoft) de octubre es el más grande de su historia. La compañía atribuye el aumento al uso de inteligencia artificial para descubrir fallas, e incorporó un nuevo sistema para ayudar a las empresas a decidir qué parchear primero.
- Microsoft corrigió 1.413 vulnerabilidades propias mediante 176 actualizaciones distintas.
- Una falla en Windows Shell ya está siendo explotada y permite evadir advertencias de seguridad.
- Otra falla crítica se activa con solo generar la miniatura de una imagen, sin necesidad de abrirla.
- La empresa estrenó los “grupos de riesgo” para ordenar la aplicación de parches.
Noticia
Microsoft publicó este martes 13 de octubre su mayor conjunto mensual de parches de seguridad, con correcciones para 1.413 vulnerabilidades en sus propios productos. Según su nota oficial, las correcciones se distribuyen en 176 actualizaciones distintas.
Solo este mes, la empresa corrigió más fallas que en todo 2025, cuando publicó 1.273 vulnerabilidades. Con esta entrega, el total de vulnerabilidades parcheadas por Microsoft en 2026 ya supera las cuatro mil.
El salto se explica por el uso de inteligencia artificial para detectar y corregir errores en sus productos. Ya en julio, la compañía había advertido que vendrían más parches gracias a MDASH, una herramienta de escaneo que combina varios agentes y modelos de IA.
De acuerdo con el reporte oficial de la empresa, Windows concentra 1.102 fallas, seguido por Office con 134, las herramientas para desarrolladores con 61 y SharePoint Server con 36. También hubo correcciones para SQL Server (22), Azure (15), Exchange Server (7) y Defender (4). Del total, 70 vulnerabilidades son críticas, y 57 de ellas permiten ejecutar código de forma remota.
La vulnerabilidad más urgente es CVE-2026-96951, un error en Windows Shell que Microsoft marcó con “explotación detectada”. La falla Permite eludir Mark of the Web, la marca que Windows asigna a los archivos descargados de internet para activar advertencias antes de abrirlos. Según Microsoft, el ataque no es automático. La empresa indicó que “un atacante tendría que convencer a un usuario de realizar una acción”.
Microsoft no ha revelado quién está explotando esta falla ni contra qué objetivos, pero si se conoció que fue reportada por investigadores de Fujitsu y de Anthropic, además de un investigador independiente. La Agencia de Ciberseguridad y Seguridad de Infraestructura de los Estados Unidos (CISA) incluyó la falla en su catálogo de vulnerabilidades explotadas y fijó hasta este 16 de octubre como plazo para que las agencias federales de ese país la corrijan, lo que denota su gravedad.
La otra falla destacada por Microsoft es CVE-2026-108398, que ya era de conocimiento público antes del parche. Descubierta por el investigador James Forshaw, de Google Project Zero, esta vulnerabilidad permite saltarse el control de aplicaciones de Windows Defender en .NET Framework. Algunos medios como The Hacker News sumaron una tercera falla divulgada, CVE-2026-92707, que afecta al componente MessagePack-CSharp, aunque Microsoft no la incluye entre sus fallas destacadas.
Microsoft también republicó una vulnerabilidad crítica reportada por Cisco Talos (el equipo de investigación de amenazas de Cisco) en Raw Image Extension, el complemento de Windows para abrir fotos en formato RAW. En esta vulnerabilidad, basta con que Windows genere la miniatura de una imagen maliciosa, ya que, según la empresa, “el usuario no necesita abrir el archivo”.
Para hacer frente al volumen de vulnerabilidades a corregir, Microsoft estrenó los “grupos de riesgo” (risk cohorts), que agrupan vulnerabilidades que requieren una evaluación similar. En octubre publicó 15 de estos grupos, aunque aclaró que se trata de un sistema experimental, indicando que “los grupos de riesgo son un punto de partida, no una decisión final”.
Además -y muy importante-, la compañía confirmó que la versión 24H2 de Windows 11 en sus ediciones Home y Pro, y Windows 10 Enterprise LTSB 2016, recibieron con este paquete su última actualización de seguridad.
