El Patch Tuesday de octubre de Microsoft corrige un récord de más de 1.400 fallos

Microsoft publicó sus actualizaciones de seguridad de octubre de 2026 el 13 de octubre, con correcciones para más de 1.400 vulnerabilidades. Es un récord para un solo Patch Tuesday, el día de cada mes en que Microsoft publica sus correcciones. Un fallo de Windows Shell, identificado como CVE-2026-96951, ya se está usando en ataques. Para los desarrolladores, la lista también incluye fallos críticos en PowerShell, OpenSSH for Windows y Visual Studio Code.

Cuántos fallos, exactamente

Las fuentes que contabilizan cada publicación no coinciden en el total. La diferencia se debe a dónde traza cada una los límites de la publicación.

Fuente	Recuento	Nota
BleepingComputer	1.411	Excluye 348 fallos corregidos antes en octubre
CrowdStrike	1.413	75 calificados como críticos
Tenable	1.413	Cuenta los productos propios de Microsoft; 1.102 en Windows
Zero Day Initiative	1.415	Lo llama el primer mes de cuatro cifras

BleepingComputer cuenta 70 fallos críticos. Por tipo, tanto este medio como CrowdStrike enumeran 677 fallos de elevación de privilegios, que permiten a un atacante obtener más permisos en un equipo. También enumeran 317 fallos de ejecución remota de código, que permiten a un atacante ejecutar su propio código.

¿Por qué tantos? BleepingComputer dice que Microsoft sigue usando plataformas de IA para encontrar y corregir vulnerabilidades. Dustin Childs, de Zero Day Initiative, dice que la IA está acelerando el descubrimiento de fallos tanto para los defensores como para los atacantes. «Otro mes de parches equivale a otro nuevo récord de parches de Microsoft», escribió.

Microsoft también clasificó los fallos en 15 «cohortes de riesgo» («risk cohorts»). Dice que los grupos no indican qué fallos son los más peligrosos.

El fallo que los atacantes ya están usando

CVE-2026-96951 es una omisión de una función de seguridad en Windows Shell. Anula Mark of the Web, la etiqueta que Windows añade a los archivos descargados de internet. Esa etiqueta es la que activa las advertencias antes de que se abra un archivo descargado.

Microsoft describe el fallo como una inyección de comandos y confirma que se está explotando. Zero Day Initiative y CrowdStrike lo puntúan con 8,8 sobre 10. Ninguno de los informes dice quién lo está usando.

Tenable señala que Windows Server 2012 R2 recibe una corrección, pero Windows Server 2012 no.

Dos fallos que se hicieron públicos antes del parche

Otros dos fallos se divulgaron públicamente antes de que Microsoft publicara un parche:

• CVE-2026-108398, .NET Framework, puntuación de 8,8. Permite a un atacante que ya ha iniciado sesión eludir App Control for Windows, que limita qué código puede ejecutarse. Microsoft dice que el atacante coloca un ensamblado .NET manipulado y lo registra para que se cargue en un proceso protegido.
• CVE-2026-92707, MessagePack-CSharp, puntuación de 5,3. Es un fallo de denegación de servicio en una biblioteca de terceros que empaqueta datos en un formato binario compacto. Lo publicó un tercero, y Microsoft lo incluyó en su actualización.

Fallos críticos que los desarrolladores deben tener en cuenta

Varios fallos críticos están en herramientas que los desarrolladores usan a diario:

Fallo	Componente	Puntuación de gravedad
CVE-2026-83578	PowerShell, ejecución remota de código	9,8
CVE-2026-97816	OpenSSH for Windows, ejecución remota de código	9,8
CVE-2026-102238	Visual Studio Code, ejecución remota de código	9,6
CVE-2026-100219, CVE-2026-105016	Protocolo de red QUIC, ejecución remota de código	9,8
CVE-2026-70571	Exchange Server, ejecución remota de código	8,1

Zero Day Initiative califica el fallo de Exchange como «wormable», es decir, que podría propagarse de un equipo a otro sin ayuda. La calificación propia de Microsoft, citada por Tenable, es «Exploitation More Likely» (explotación más probable). Tenable también señala cinco fallos de Outlook que se pueden activar a través del panel de vista previa.

Versiones que dejan de recibir actualizaciones

Esta publicación es la última para algunos programas antiguos, según BleepingComputer y Tenable:

• Windows 11 24H2 Home y Pro llegan al fin de su servicio. Cubrimos el paso a 26H2 a principios de este mes.
• Windows 10 Enterprise LTSB 2016 recibe su última actualización.
• Windows Server 2012 y 2012 R2 terminan el tercer año de Extended Security Updates de pago el 14 de octubre, según Tenable.
• Office 2021 se retira el 14 de octubre, y Exchange Server 2016 y 2019 pasan al estado «no ESU» a partir del 15 de octubre.

Qué significa esto para los desarrolladores

• Parchee primero los equipos de desarrollo. PowerShell, OpenSSH y VS Code tienen correcciones críticas. Los servidores de compilación y los portátiles que los ejecutan son objetivos de alto valor.
• Actualice MessagePack-CSharp. Revise sus dependencias de NuGet en busca de MessagePack y pase a la versión corregida que indica el aviso.
• Tenga cuidado con los archivos descargados hasta aplicar el parche. El fallo explotado desactiva la advertencia que normalmente le protege de ellos.
• Abandone Windows 11 24H2 Home y Pro. Esas ediciones no reciben más correcciones después de este mes.
• Prepárese para meses con más parches. Adam Barnett, de Tenable, prevé que los volúmenes sigan creciendo. Automatice cómo clasifica y prueba las actualizaciones en lugar de revisar cada una a mano.