Microsoft publicó hoy, martes 13 de octubre de 2026, su boletín mensual de seguridad, y volvió a romper el récord: más de 1,400 vulnerabilidades corregidas. El de septiembre, que ya había sido récord, rondaba las 970 (Action1 lo cuenta en 995).
El conteo exacto cambia según quién lo haga:
| Fuente | Vulnerabilidades | Críticas |
|---|---|---|
| BleepingComputer | 1,411 | 70 |
| SANS ISC | 1,417 | 76 |
| Action1 | 1,409 | 80 |
BleepingComputer solo cuenta lo publicado el martes; aparte, Microsoft ya había corregido 348 fallas en lo que va de octubre. Según SANS, 7 de las críticas son de servicios en la nube que no requieren acción del cliente.
El día cero: CVE-2026-96951, el aviso que no aparece
La única falla confirmada como explotada activamente es CVE-2026-96951, una omisión de seguridad en Windows Shell que permite saltarse Mark of the Web (MOTW).
MOTW es la etiqueta invisible que Windows pone a todo archivo que llega de internet. Gracias a ella aparece el aviso de "¿seguro que quieres abrir esto?" y Office abre los documentos en vista protegida, con las macros bloqueadas. Un archivo que llega sin esa etiqueta se trata como si fuera de confianza.
- Calificación: Importante, CVSS 8.8. Requiere que alguien abra el archivo.
- Cómo llega: un archivo manipulado por correo, mensajería o enlace (análisis de HOL); Microsoft no ha dado detalles del ataque.
- Afectados: Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 de la 23H2 a la 26H2 y Windows Server de 2012 R2 a 2025.
- CISA la agregó hoy a su catálogo de vulnerabilidades explotadas (KEV), con plazo al 16 de octubre para las agencias federales de EE. UU.
- No hay mitigación alternativa: el arreglo es la actualización acumulativa de octubre.
Hay además dos fallas divulgadas antes del parche, sin explotación conocida: CVE-2026-108398 (.NET Framework, salta el control de aplicaciones WDAC) y CVE-2026-92707 (MessagePack-CSharp, moderada).
Las críticas que sí suelen estar en una PyME
La mayoría de las 1,400 corresponde a componentes que tu empresa quizá no usa. Estas críticas, de la tabla de SANS ISC, sí suelen estar en una oficina o planta:
| Componente | Qué corrige | CVSS máximo |
|---|---|---|
| Outlook | Cinco fallas de ejecución remota de código | 9.8 |
| Excel, Word, PowerPoint y Visio | Más de 20 fallas de ejecución remota al abrir archivos | 9.8 (PowerPoint) |
| Servidor DHCP de Windows | Cinco de ejecución remota; una llega a 9.8 | 9.8 |
| Controlador de impresora PostScript | Tres de ejecución remota | 9.8 |
| Microsoft QUIC | Dos de ejecución remota | 9.8 |
| Hyper-V | Dos de ejecución remota y una de elevación de privilegios | 8.8 |
| Active Directory | Ejecución remota en AD DS y suplantación en AD FS | 8.1 |
| Exchange Server | Ejecución remota (CVE-2026-70571) | 8.1 |
| SharePoint Server | Elevación de privilegios | 8.1 |
Action1 prioriza las de ejecución remota sin autenticación en Message Queuing (MSMQ), PostScript, QUIC, Exchange y Escritorio Remoto. La de Exchange solo aparece en la tabla de SANS; BleepingComputer ubica a Exchange entre lo corregido antes del martes. Si todavía tienes Exchange 2016 o 2019, recuerda que su soporte pagado termina el 31 de octubre.
Hoy también se acabaron parches
Para algunos equipos, este es el último boletín:
- Windows 11 24H2 Home y Pro: último parche hoy, según BleepingComputer. Hay que pasarlos a 25H2 o posterior; revisa las laptops compradas "de tienda".
- Windows 10 Enterprise LTSB 2016: también termina hoy. Windows 11 23H2 Enterprise y Education, en noviembre.
- Office 2021 y LTSC 2021 se quedan sin parches: qué hacer con esas licencias.
- El primer año del soporte extendido de Windows 10 también terminó hoy, y el segundo cuesta el doble.
Lo que corrigieron otros fabricantes en octubre
Según el recuento mensual de BleepingComputer:
- SAP: 20 fallas, una de severidad máxima (SSRF en OAuth2) en el Cloud SDK para Python.
- Adobe: Commerce, ColdFusion, Photoshop y otros.
- Fortinet: el día cero de FortiMail que cubrimos el 2 de octubre.
- Ivanti Connect Secure: un día cero explotado.
- Cisco NX-OS: ejecución de código como root en switches Nexus.
- Atlassian: CVE-2026-21589 en Jira, Confluence y Bitbucket Data Center, ya explotada.
- Citrix NetScaler, GitLab y SonicWall SMA1000: fallas críticas cubiertas en días anteriores.
Qué parchar primero en una PyME
- Esta semana, la acumulativa de octubre en todos los equipos con Windows, empezando por quienes reciben más correo externo: compras, cuentas por pagar, ventas y dirección.
- Office en todas las estaciones; en Microsoft 365 Apps, revisa que las actualizaciones no estén detenidas.
- Servidores expuestos o críticos: Exchange local, Escritorio Remoto, DHCP, impresión y Active Directory, en ventana de mantenimiento y con un respaldo que ya probaste restaurar.
- Hyper-V: primero el host menos crítico, luego el resto.
- Equipos sin soporte: Windows 11 24H2 Home/Pro, Windows 10 sin ESU u Office 2021 ya no se arreglan con Windows Update.
- Terceros: si tienes FortiMail, Ivanti, Nexus, Jira/Confluence propio, SAP o Adobe Commerce, ese parche pesa tanto como el de Microsoft.
Nadie va a revisar 1,400 fallas al mes; hace falta saber qué equipos tienes, en qué versión están y en cuántos días aplicas un parche urgente. En Syswork lo llevamos como servicio gestionado dentro de ciberseguridad y soporte técnico.
Parcheo gestionado
¿Cuántos de tus equipos ya tienen el parche de octubre?
Si no lo sabes con certeza, te ayudamos a averiguarlo: revisamos versiones, parches pendientes y equipos sin soporte en un solo reporte.
