Microsoft corrige 1.411 fallos y tres zero-days en el Patch Tuesday de octubre de 2026

En el Patch Tuesday de octubre de 2026, Microsoft ha lanzado actualizaciones de seguridad que abordan un total récord de 1.411 vulnerabilidades, entre las que se incluyen un zero-day explotado activamente y dos divulgados públicamente. De estas, 70 han sido clasificadas como 'críticas', de las cuales 57 permiten ejecución remota de código, 11 son de elevación de privilegios y 2 de suplantación.

El desglose aproximado por categoría de vulnerabilidad es el siguiente:

677 vulnerabilidades de elevación de privilegios
40 vulnerabilidades de omisión de características de seguridad
317 vulnerabilidades de ejecución remota de código
254 vulnerabilidades de divulgación de información
73 vulnerabilidades de denegación de servicio
28 vulnerabilidades de suplantación

BleepingComputer solo contabiliza las vulnerabilidades publicadas por Microsoft el propio día del Patch Tuesday, por lo que el total de hoy excluye 348 fallos corregidos a principios de mes en productos como Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server y Microsoft Partner Center.

Este Patch Tuesday rompe récords mientras Microsoft continúa utilizando plataformas de inteligencia artificial para encontrar y remediar vulnerabilidades en sus productos.

Microsoft también ha anunciado que Windows 11, versión 24H2 Home y Pro, y Windows 10 Enterprise LTSB 2016 han alcanzado el fin de soporte. 'Hoy, 13 de octubre de 2026, Windows 11, versión 24H2 Home y Pro, y Windows 10 Enterprise LTSB 2016 han llegado al final de las actualizaciones. La actualización de seguridad mensual de octubre de 2026 es la última disponible para estas ediciones', declaró la compañía.

A principios de mes, Microsoft también indicó que las organizaciones que ejecutan Windows 11 23H2 Enterprise, Education e IoT Enterprise deben actualizar a versiones más recientes, ya que dejarán de recibir actualizaciones de seguridad a partir del próximo mes.

Para obtener más información sobre las actualizaciones no relacionadas con la seguridad publicadas hoy, se pueden consultar los artículos dedicados a las actualizaciones acumulativas KB5127648 y KB5126653 de Windows 11, y a la actualización de seguridad extendida KB5126657 de Windows 10.

Microsoft corrige dos zero-days

El Patch Tuesday de este mes corrige una vulnerabilidad zero-day explotada activamente y dos divulgadas públicamente. Microsoft clasifica un fallo zero-day como divulgado públicamente o explotado activamente cuando no existe un parche oficial disponible.

Las vulnerabilidades zero-day explotadas activamente abordadas en este Patch Tuesday de octubre de 2026 son:

CVE-2026-96951 – Vulnerabilidad de omisión de característica de seguridad en Windows Shell. Microsoft ha parcheado un fallo de omisión de seguridad zero-day explotado activamente que permitía a los atacantes eludir la característica de seguridad Mark of the Web. 'La neutralización incorrecta de elementos especiales utilizados en un comando ("inyección de comandos") en Windows Shell permite a un atacante no autorizado eludir una característica de seguridad a través de la red', advierte Microsoft. No se han compartido detalles sobre cómo los atacantes explotaron el fallo ni quién lo divulgó.

Los dos zero-days divulgados públicamente son:

CVE-2026-108398 – Vulnerabilidad de omisión de característica de seguridad en .NET Framework. Microsoft ha corregido una omisión de característica de seguridad en .NET Framework que puede explotarse para ejecutar aplicaciones no autorizadas. 'La ruta de búsqueda no confiable en .NET Framework permite a un atacante autorizado eludir una característica de seguridad localmente', explica Microsoft. Según la compañía, este fallo podría permitir a los atacantes eludir la aplicación de Windows Defender Application Control (WDAC) y ejecutar aplicaciones no autorizadas. 'Un atacante autenticado podría colocar un ensamblado .NET especialmente diseñado en un sistema afectado y registrarlo para que lo cargue un proceso protegido. La explotación exitosa podría eludir las restricciones de Windows Defender Application Control y permitir al atacante ejecutar código dentro del proceso protegido. No se requiere interacción del usuario'. James Forshaw, de Google Project Zero, descubrió el fallo.

CVE-2026-92707 – Vulnerabilidad de denegación de servicio en MessagePack-CSharp. Microsoft ha corregido un fallo de denegación de servicio en MessagePack-CSharp. 'La asignación secuencial de memoria controlada incorrectamente en .NET permite a un atacante no autorizado denegar el servicio a través de la red', explica Microsoft. La compañía no ha revelado quién divulgó la vulnerabilidad.

Actualizaciones recientes de otras compañías

Otros proveedores que publicaron actualizaciones o avisos en octubre de 2026 incluyen:

Adobe lanzó actualizaciones de seguridad para numerosos productos, incluidos Commerce, Substance 3D Samples, ColdFusion, Photoshop, Dimension y Framework.
Atlassian publicó actualizaciones de seguridad para una vulnerabilidad crítica (CVE-2026-21589) en múltiples productos Data Center autoalojados, incluidos Confluence, Jira y Bitbucket. Los atacantes explotaron pronto el fallo tras la publicación de un PoC.
Cisco lanzó actualizaciones de seguridad para numerosos productos, incluidas vulnerabilidades críticas en su sistema operativo de red para centros de datos NX-OS que permiten a los atacantes ejecutar código arbitrario con privilegios de root en conmutadores Nexus.
Citrix publicó actualizaciones de seguridad para fallos en NetScaler ADC y NetScaler Gateway, con CVE-2026-88779 explotado en ataques zero-day antes de ser parcheado.
Dell lanzó actualizaciones de seguridad para vulnerabilidades críticas en la herramienta de implementación de interfaz de línea de comandos (CLI) System Update (DSU) y en Container Storage Modules (CSM).
Docker parcheó un fallo crítico en DockerHub que permite a los atacantes suplantar usuarios y subir imágenes desde repositorios ajenos.
Fortinet publicó actualizaciones de seguridad para numerosos productos, incluida una vulnerabilidad crítica en FortiMail (CVE-2026-104286) que los atacantes explotaron en ataques zero-day.
GitLab lanzó actualizaciones de seguridad para fallos críticos en AI Gateway y CI/CD Regular Expression Compiler.
Ivanti publicó actualizaciones de seguridad para una vulnerabilidad zero-day explotada activamente en la pasarela de acceso remoto Ivanti Connect Secure (ICS).
Kiteworks lanzó actualizaciones de seguridad para 126 vulnerabilidades, incluido un fallo de máxima gravedad que afecta a su solución de seguridad Email Protection Gateway (EPG).
Progress Software publicó actualizaciones de seguridad para vulnerabilidades críticas y altas en MarkLogic Server.
SAP lanzó las actualizaciones de seguridad de octubre, abordando 20 fallos de seguridad, incluida una vulnerabilidad SSRF de OAuth2 de máxima gravedad en Cloud SDK para Python.
SonicWall publicó actualizaciones de seguridad para un fallo crítico de falsificación de petición del lado del servidor (SSRF) en SMA1000, que los atacantes explotaron en dos días.

Nuevos 'risk cohorts' ayudan a priorizar las actualizaciones de seguridad

Con el número récord de vulnerabilidades de este mes, Microsoft también ha introducido un nuevo método para que las organizaciones prioricen las actualizaciones de seguridad agrupando fallos relacionados en lo que denomina 'risk cohorts' (cohortes de riesgo).

El nuevo enfoque agrupa vulnerabilidades similares para ayudar a las organizaciones a comprender mejor qué fallos de seguridad representan el mayor riesgo para sus sistemas y deben priorizarse para su parcheo.

Para octubre de 2026, Microsoft ha publicado 15 cohortes de riesgo, entre las que se incluyen:

136 vulnerabilidades que afectan a sistemas de archivos, almacenamiento y copia de seguridad de Windows.
135 vulnerabilidades relacionadas con documentos de Office y clientes de correo.
131 vulnerabilidades que afectan a gráficos, medios y procesamiento de contenido de Windows.
109 vulnerabilidades que involucran límites de privilegios del núcleo y kernel de Windows.
103 vulnerabilidades que afectan a servicios de instalación, implementación y actualización de Windows.

Microsoft enfatizó que estos grupos no indican necesariamente qué fallos son los más peligrosos, ya que el riesgo real depende de si se están explotando en ataques, su gravedad y cómo utiliza la organización el software afectado.

La compañía señala que el nuevo enfoque aún es experimental y está destinado a ayudar a las organizaciones a priorizar las actualizaciones de seguridad, no a reemplazar sus recomendaciones de parcheo existentes. Microsoft ha publicado un PDF que asigna las vulnerabilidades de octubre de 2026 a sus respectivas cohortes de riesgo.

Actualizaciones de seguridad del Patch Tuesday de octubre de 2026

A continuación se muestra la lista completa de vulnerabilidades resueltas en las actualizaciones de octubre de 2026. Tenga en cuenta que este informe no incluye los fallos corregidos a principios de mes. Para acceder a la descripción completa de cada vulnerabilidad y los sistemas afectados, puede consultar el informe completo aquí.

Construya su plano de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a la velocidad de la IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.