Microsoft parchea un récord de 1.411 vulnerabilidades en el Patch Tuesday de octubre de 2026, incluido un zero-day de Windows Shell bajo explotación activa

Microsoft publicó el 13 de octubre de 2026 sus actualizaciones de seguridad del Patch Tuesday de octubre, corrigiendo un récord de 1.411 vulnerabilidades en Windows, Azure y .NET, el mayor lanzamiento mensual de seguridad en la historia de la compañía. La actualización incluye tres vulnerabilidades zero-day, una de las cuales ya se está explotando activamente en ataques reales.

La magnitud de esta publicación refleja un cambio deliberado en cómo Microsoft detecta errores. La compañía ha atribuido el aumento al mayor uso de herramientas de análisis de vulnerabilidades basadas en IA, que permiten identificar muchos más fallos de seguridad antes de que los atacantes puedan encontrarlos.

La zero-day bajo explotación activa, identificada como CVE-2026-96951, es un bypass de seguridad en Windows Shell que permite a los atacantes eludir la protección Mark of the Web (MotW). MotW es el mecanismo que usa Windows para marcar los archivos descargados de internet como potencialmente inseguros. Al explotar este bypass, los atacantes pueden ejecutar archivos descargados sin que aparezca ninguna advertencia, convirtiéndolo en una herramienta eficaz en campañas de phishing y distribución de malware. Microsoft no ha revelado cómo se está explotando la vulnerabilidad ni quién la descubrió.

Las otras dos zero-day fueron divulgadas públicamente antes de que hubiera parches disponibles, aunque ninguna ha sido explotada hasta el momento. La CVE-2026-108398, descubierta por el investigador de Google Project Zero James Forshaw, permite a un atacante eludir Windows Defender Application Control (WDAC) y ejecutar código no autorizado en un proceso protegido. La tercera, CVE-2026-92707, es un fallo de denial-of-service de severidad moderada en MessagePack-CSharp, una popular biblioteca de serialización para .NET.

Entre las 70 vulnerabilidades críticas parcheadas este mes destacan: un fallo de remote code execution en Windows Active Directory Domain Services (CVE-2026-70229), dos vulnerabilidades de spoofing en Active Directory Federation Services, un bug de RCE en Azure App Service (CVE-2026-77900) y un fallo de elevation of privilege en el Linux Kernel bajo Azure (CVE-2026-62840).

Los equipos de seguridad deben priorizar el parcheo de CVE-2026-96951 de inmediato dada su explotación activa. Las organizaciones que dependen de WDAC como perímetro de seguridad deben tratar CVE-2026-108398 como urgente. Las cargas de trabajo en Azure deben evaluar los parches de App Service y Event Grid para servicios expuestos a internet.

Según informó BleepingComputer, el recuento de octubre excluye 348 vulnerabilidades que Microsoft resolvió fuera del Patch Tuesday a principios de mes, lo que eleva el total real de fallos resueltos en octubre a cerca de 1.759.