Microsoft ha superado su propio récord en el Patch Tuesday al publicar parches para 1.413 vulnerabilidades, una cifra sin precedentes que incluye una falla que, según la compañía, está siendo explotada activamente.
Del total, 1.102 fallos corresponden a Windows, 134 a Office, 61 a Herramientas de Desarrollo, 36 a SharePoint Server y 22 a SQL Server. Más de 670 están relacionadas con escalada de privilegios, seguidas de más de 300 de ejecución remota de código y 250 de divulgación de información. Más de 70 fueron calificadas como críticas.
"Cientos de CVE en una sola versión solían ser la excepción; ahora son la norma", señaló Dustin Childs, jefe de Concienciación sobre Amenazas de Zero Day Initiative (ZDI). "¿Es culpa de la IA? En parte. Está acelerando la búsqueda de errores en ambos lados, por lo que los proveedores encuentran (y corrigen) más fallos, y los investigadores los encuentran más rápido".
Childs añadió que la IA no crea estos errores de la nada, sino que acorta el tiempo entre que existe una vulnerabilidad y alguien la detecta. "El volumen ya no es la historia principal. Lo importante es que el descubrimiento escala más rápido que la explotación, por lo que los equipos que clasifican por número de CVE en lugar de por explotabilidad están desperdiciando ciclos en los errores equivocados. Parchea lo probado, priorizado y público, y trata todo lo demás como la nueva normalidad de este mes".
Las tres vulnerabilidades más destacadas son:
- CVE-2026-96951 (puntuación CVSS: 8.8): una vulnerabilidad de inyección de comandos en Windows Shell que permite a un atacante no autorizado eludir una característica de seguridad a través de la red.
- CVE-2026-108398 (puntuación CVSS: 8.8): una vulnerabilidad de ruta de búsqueda no confiable en .NET Framework que permite a un atacante autorizado eludir una característica de seguridad localmente.
- CVE-2026-92707 (puntuación CVSS: 5.3): una vulnerabilidad de asignación secuencial de memoria mal controlada en MessagePack-CSharp que permite a un atacante no autorizado denegar el servicio a través de la red.
Microsoft, que atribuyó el descubrimiento de CVE-2026-96951 a Riku Bamba y Yuya Chudo de Fujitsu, así como a Benoit Sevens de Anthropic y a un investigador llamado yhw, afirmó que la vulnerabilidad ha sido explotada en el mundo real.
"Un atacante que explotara con éxito la vulnerabilidad podría evadir las defensas de Mark of the Web (MOTW)", explicó la compañía. "En un escenario de ataque por correo electrónico o mensaje instantáneo, el atacante podría enviar al usuario objetivo un archivo especialmente diseñado para explotar la vulnerabilidad".
Microsoft añadió que un atacante no puede forzar a un usuario a ver contenido controlado por él, sino que debe convencerlo de realizar una acción, como hacer clic en un enlace o enviar un archivo adjunto malicioso.
No está claro cómo se está explotando la vulnerabilidad en ataques reales, por quién ni a quién. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) ha añadido la falla a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), lo que obliga a las agencias federales a aplicar los parches antes del 16 de octubre de 2026.
CVE-2026-108398 ha sido reconocida como de conocimiento público en el momento de la publicación de los parches. Microsoft indicó que la falla podría explotarse para eludir la aplicación de Windows Defender Application Control (WDAC) y ejecutar aplicaciones no autorizadas en los sistemas objetivo.
"Un atacante autenticado podría colocar un ensamblado .NET especialmente diseñado en un sistema afectado y registrarlo para que lo cargue un proceso protegido", dijo Microsoft. "La explotación exitosa podría eludir las restricciones de Windows Defender Application Control y permitir al atacante ejecutar código dentro del proceso protegido. No se requiere interacción del usuario".
Mike Walters, presidente y cofundador de Action1, advirtió que esta vulnerabilidad es particularmente peligrosa como técnica de ataque posterior a la compromiso, ya que permite a atacantes con acceso local eludir restricciones de seguridad sin interacción del usuario. "La explotación exitosa podría comprometer la integridad del sistema, exponer información comercial sensible, debilitar las defensas de los endpoints y interrumpir operaciones críticas", afirmó.
Microsoft atribuyó el descubrimiento de esta vulnerabilidad a James Forshaw de Google Project Zero, mientras que acreditó a un investigador anónimo por reportar CVE-2026-92707. Esta es la segunda falla marcada como divulgada públicamente.
También se han publicado parches para una CVE que no es de Microsoft (CVE-2026-21413, puntuación CVSS: 9.8), un desbordamiento de búfer basado en montículo que afecta a Raw Image Extension y que podría provocar ejecución remota de código.
"Un atacante podría explotar esta vulnerabilidad convenciendo a un usuario de navegar a una carpeta que contenga un archivo de imagen RAW especialmente diseñado", dijo Microsoft. "La vulnerabilidad puede desencadenarse cuando Windows genera una miniatura o vista previa; el usuario no necesita abrir el archivo".
Este desarrollo se produce en medio del uso continuado de enfoques asistidos por inteligencia artificial (IA) para descubrir y remediar vulnerabilidades. El mes pasado, Microsoft abordó casi 1.000 vulnerabilidades. Según Satnam Narang, ingeniero de investigación sénior de Tenable, Microsoft ha parcheado más de 4.000 CVE solo este año.
"El gran volumen de vulnerabilidades en las recientes versiones de Patch Tuesday puede incluir fácilmente varios ejemplos de vulnerabilidades potencialmente preocupantes, cada una de las cuales podría haber sido más notable por sí sola cuando los volúmenes eran menores", comentó Adam Barnett, ingeniero principal de software en Rapid7.
Junto con las actualizaciones de este mes, Redmond también ha introducido un nuevo método para ayudar a las organizaciones a priorizar las actualizaciones de seguridad agrupando fallos relacionados en lo que denomina "risk cohorts" (cohortes de riesgo).
"Una cohorte de riesgo es un grupo de CVE que requieren una evaluación similar por parte del cliente", explicó Microsoft. "Las cohortes de riesgo son un punto de partida, no una decisión final. Los clientes deben seguir revisando cada CVE en busca de explotación activa, gravedad, vector de ataque, interacción del usuario y orientación específica del producto".
Deja una respuesta