Patch Tuesday de octubre 2026: más de 1.400 fallos y prioridades

El 13 de octubre de 2026 Microsoft publicó las actualizaciones mensuales de seguridad más voluminosas de su historia: más de 1.400 vulnerabilidades corregidas. Sobre la CVE-2026-96951 de Windows Shell, la única ya explotada, escribimos un artículo dedicado; aquí reunimos el resto: los otros dos zero-day, los fallos que conviene corregir primero y las versiones de Windows que se quedaron sin soporte ese mismo día.

Cuántas son y por qué las cifras no coinciden

Los medios dan totales distintos: 1.411 según BleepingComputer, 1.413 según The Hacker News y Tyler Reguly de Fortra, 1.407 según CSO Online. BleepingComputer solo cuenta las vulnerabilidades publicadas el propio día del Patch Tuesday y excluye 348 ya corregidas a principios de mes (entre ellas Azure, Dataverse y Exchange Server). Tampoco coinciden en las críticas: 70 según BleepingComputer (57 de ejecución remota de código, 11 de elevación de privilegios y 2 de suplantación), al menos 78 según Krebs on Security.

Por categoría predominan la elevación de privilegios (677) y la ejecución remota de código (317). Microsoft atribuye el volumen al uso de modelos de lenguaje en la búsqueda de vulnerabilidades; el récord anterior, en septiembre, rondaba las 1.000.

El aviso AV26-1038 del Canadian Centre for Cyber Security enumera los productos afectados, entre ellos Windows 10 y 11, Windows Server de 2012 a 2025, Exchange Server, SharePoint Server, SQL Server de 2017 a 2025, Office, .NET y .NET Framework. El NSM noruego no destaca vulnerabilidades concretas y recomienda actualizar cuanto antes.

Los zero-day

• CVE-2026-96951, Windows Shell: las nuevas fuentes aclaran que la función evadida es Mark of the Web (MotW), la marca que Windows aplica a los archivos descargados de Internet para activar avisos y controles. Según Krebs afecta a Windows 10, Windows 11 y algunas versiones de Windows Server. Satnam Narang, de Tenable, citado por CSO Online, recuerda que es el tercer fallo de Windows Shell explotado en 2026, tras la CVE-2026-21510, vinculada al grupo APT28, y la CVE-2026-32202, que corregía un parche incompleto de la primera.
• CVE-2026-108398, .NET Framework (divulgada públicamente, sin explotación conocida): ruta de búsqueda no fiable que permite evadir Windows Defender Application Control (WDAC). En la descripción de Microsoft recogida por BleepingComputer, un atacante autenticado coloca un ensamblado .NET manipulado y lo registra para que lo cargue un proceso protegido, con lo que ejecuta código en ese proceso, sin interacción del usuario. CSO Online, en cambio, habla de un atacante no autenticado. La descubrió James Forshaw, de Google Project Zero.
• CVE-2026-92707, MessagePack-CSharp (divulgada públicamente): denegación de servicio por red debida a una asignación de memoria no controlada.

Las fuentes no coinciden en la lista: CSO Online señala como tercer zero-day la CVE-2026-102866 de SharePoint en lugar de MessagePack-CSharp, mientras que Krebs solo considera zero-day el fallo de Windows Shell.

Otros fallos que mirar primero

• SharePoint, CVE-2026-102866: elevación de privilegios señalada por Dustin Childs (Zero Day Initiative). Según Microsoft, un atacante no autenticado que obtenga un proof token válido de un usuario puede modificarlo, enviarlo al servidor SharePoint y autenticarse como ese usuario, sin interacción.
• 55 vulnerabilidades wormable, también según Childs: sin autenticación y sin clic, concentradas, entre otros, en DHCP Server (6), Remote Desktop Gateway (3) y Network Policy Server (4).
• CVSS 9.8, sin autenticación ni interacción (Jack Bicer, Action1): Message Queuing CVE-2026-100202, controlador de impresión PostScript CVE-2026-70147 y CVE-2026-70153, QUIC CVE-2026-105016 y CVE-2026-100219. Sin explotación confirmada.
• Exchange Server: cuatro actualizaciones on-premises, cada una con una vulnerabilidad de CVSS 8.8 (Nightwing).

Microsoft introduce de forma experimental los risk cohorts: 15 grupos de vulnerabilidades afines, desde los sistemas de archivos y las copias de seguridad (136) hasta los documentos de Office y los clientes de correo (135), con un PDF de correspondencias. Microsoft precisa que por sí solos no indican los fallos más peligrosos.

Versiones de Windows sin más actualizaciones

La de octubre es la última actualización para Windows 11 24H2 Home y Pro y para Windows 10 Enterprise LTSB 2016. Las ediciones Enterprise y Education de 24H2 siguen con soporte hasta el 12 de octubre de 2027. Desde noviembre dejan de recibir actualizaciones también Windows 11 23H2 Enterprise, Education e IoT Enterprise; Windows Server 2022 sale del soporte principal, pero sigue con soporte extendido hasta octubre de 2031. Microsoft recomienda pasar a Windows 11 26H2. Para Windows 10 con ESU o LTSC la actualización es KB5126657 (compilaciones 19045.7807 y 19044.7807).

Impacto para las empresas europeas e italianas

Muchas pymes usan Windows 11 Pro: los equipos que sigan en 24H2 se quedan sin correcciones a partir de noviembre. Para las entidades sujetas a NIS2, la gestión de vulnerabilidades exige prioridades justificadas: con volúmenes así, el criterio que indican los expertos citados es la explotación real. Reguly recuerda que solo 26 CVE de Microsoft de 2026 están en el catálogo KEV de la CISA. En la sanidad, los servidores DHCP, las pasarelas de escritorio remoto y NPS suelen compartirse con las redes clínicas: trátalos como sistemas expuestos.

Qué hacer ya

1. Windows Shell primero (CVE-2026-96951), como en el artículo anterior: es la única ya explotada y evade las protecciones de Mark of the Web.
2. Servicios expuestos o centrales: SharePoint, Remote Desktop Gateway, DHCP Server, NPS, Message Queuing y Exchange on-premises, empezando por los accesibles desde Internet.
3. Si usas WDAC para el control de aplicaciones, actualiza .NET Framework con prioridad: la CVE-2026-108398 ya es pública.
4. Inventario de versiones: localiza los equipos con Windows 11 24H2 Home o Pro y planifica el paso a 26H2; antes de noviembre, prepara los que tienen 23H2 Enterprise y Education.
5. Prioridades: empieza por las CVE del catálogo KEV y luego usa los risk cohorts para organizar pruebas y despliegue; al final, comprueba que la instalación se ha completado en todas las máquinas.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete y destaca las que ya explotan los atacantes, lo que ayuda a decidir el orden de las actualizaciones. ARX Sentry recoge el inventario de sistema y software de ordenadores y servidores, útil para encontrar los equipos con versiones de Windows sin soporte. ARX Expose muestra qué servicios expone tu empresa en Internet, como una pasarela de escritorio remoto o un portal de SharePoint.

Última actualización: 14 de octubre de 2026