SandIA (Buenos Aires, 14 de octubre de 2026).- Microsoft publicó parches para 1.413 vulnerabilidades en sus sistemas operativos y otros programas, un récord para la compañía. El lote incluye una falla del Windows Shell que la empresa reportó como explotada activamente.
El detalle del mayor lote de parches de Microsoft
Según publicó The Hacker News el 14 de octubre, los parches incluyen 1.102 fallas en Windows, 134 en Office, 61 en Developer Tools, 36 en SharePoint Server y 22 en SQL Server. Más de 670 corresponden a escalada de privilegios, más de 300 a ejecución remota de código y 250 a divulgación de información. Al menos 78 están calificadas como críticas, según Krebs on Security.
La cifra supera el récord previo de septiembre, de casi 1.000 correcciones, que ya era cerca de diez veces el volumen mensual habitual de Microsoft. Satnam Narang, de Tenable, señaló que este mes supera los 1.261 CVEs parcheados en 2020, el récord anual anterior, y que la compañía ya superó los 4.000 CVEs en lo que va del año.
La falla del Windows Shell bajo explotación activa
La vulnerabilidad CVE-2026-96951 es una omisión de función de seguridad en el Windows Shell que afecta a sistemas Windows 10 y 11, y a algunas versiones de servidor. Según Microsoft, un atacante puede evadir las defensas Mark of the Web (MOTW) enviando a la víctima un archivo especialmente diseñado por correo electrónico o mensaje instantáneo, y para concretar el ataque necesita convencer al usuario de hacer clic en un enlace o abrir el archivo adjunto.
No está claro cómo se explota la falla en ataques reales, ni quién la ejecuta ni a quién apuntó. La agencia estadounidense CISA la incorporó a su catálogo de vulnerabilidades explotadas conocidas (KEV) y exige a las agencias federales aplicar las correcciones antes del 16 de octubre de 2026. Microsoft atribuyó el reporte a Riku Bamba y Yuya Chudo, de Fujitsu, y a Benoit Sevens, de Anthropic, junto a un investigador identificado como yhw.
La segunda falla pública y el rol de la inteligencia artificial
El lote también incluye la falla CVE-2026-108398 en .NET Framework, divulgada públicamente antes de la publicación de los parches, que permite eludir Windows Defender Application Control (WDAC) y ejecutar aplicaciones no autorizadas sin interacción del usuario. Microsoft atribuyó su descubrimiento a James Forshaw, de Google Project Zero. La empresa también parcheó CVE-2026-21413, con puntaje CVSS 9.8, un desbordamiento de búfer en Raw Image Extension que puede derivar en ejecución remota de código.
Consultado por The Hacker News, Dustin Childs, jefe de Concientización de Amenazas de Zero Day Initiative (ZDI), sostuvo que la inteligencia artificial acelera la búsqueda de errores en ambos lados: los proveedores encuentran y corrigen más fallas, y los investigadores las hallan más rápido. Para Adam Barnett, ingeniero de Rapid7, el volumen reciente de vulnerabilidades puede incluir casos que, con volúmenes menores, habrían sido más notorios por sí solos. Tyler Reguly, de Fortra, indicó que solo 26 vulnerabilidades de Microsoft ingresaron al catálogo KEV de CISA este año y recomendó priorizar esas correcciones.
Junto con las actualizaciones, Microsoft presentó un método para agrupar fallas relacionadas en lo que denomina "risk cohorts", para ayudar a las organizaciones a priorizar las actualizaciones de seguridad.