Publicado el 14 octubre 2026 · Equipo mitza.es
Microsoft publicó el 13 de octubre de 2026 su boletín mensual de seguridad y ha vuelto a batir su propio récord, esta vez por un margen enorme: más de 1.400 vulnerabilidades corregidas en un solo mes. El mayor boletín hasta ahora era el de septiembre, con 966 fallos, y según Security Affairs es la primera vez que Microsoft supera el millar en un mismo mes. Entre tantos parches hay uno que ya se está usando contra sistemas reales.
Cuántas vulnerabilidades son exactamente
Depende de quién cuente. BleepingComputer cifra el boletín en 1.411 fallos, sin incluir otros 348 corregidos a principios de mes. SecurityWeek recoge la cifra de Microsoft, 1.413 CVE, de los que 1.102 afectan a Windows, 134 a Office, 61 a herramientas de desarrollo y 36 a SharePoint Server. Y Security Affairs, citando a Zero Day Initiative, habla de 1.415. Cada medio cuenta de forma ligeramente distinta, pero ninguna diferencia cambia la conclusión: es un volumen sin precedentes. SecurityWeek calcula que este único mes supera el total de todo 2025 y deja el acumulado de 2026 por encima de 4.000.
De todas ellas, 70 están calificadas como críticas según BleepingComputer (57 de ejecución remota de código, 11 de elevación de privilegios y 2 de suplantación), aunque otros medios cuentan hasta 80. Por tipo, predominan las de elevación de privilegios (unas 677) y las de ejecución remota de código (unas 317).
El zero-day activo: un atajo para saltarse Mark of the Web
Se trata de CVE-2026-96951, una omisión de funciones de seguridad en el Shell de Windows con puntuación CVSS de 8,8 que Microsoft confirma como explotada. Permite eludir Mark of the Web, la marca que Windows añade a los archivos descargados de Internet o recibidos por correo para que avisen antes de ejecutarse. Con el fallo, un archivo manipulado puede abrirse sin esas advertencias.
Para explotarlo hay que convencer al usuario de que abra el archivo, por ejemplo enviándoselo por correo o por mensajería. Microsoft no ha explicado cómo se está aprovechando; SecurityWeek recoge que lo comunicaron Fujitsu, Anthropic y un investigador independiente. CISA lo ha incluido en su catálogo de vulnerabilidades explotadas y ha dado a las agencias federales de EE. UU. hasta el 16 de octubre para corregirlo. Es el tipo de fallo que encaja con el fraude por correo: un PDF o un archivo comprimido que antes habría disparado un aviso de Windows y ahora no.
Otros dos zero-days y fallos que conviene vigilar
Además del explotado, Microsoft cuenta como zero-days otros dos fallos divulgados públicamente antes del parche, sin explotación confirmada:
- CVE-2026-108398: omisión de seguridad en .NET Framework que permite saltarse Windows Defender Application Control (WDAC), el sistema que decide qué aplicaciones pueden ejecutarse. Según BleepingComputer lo encontró James Forshaw, de Google Project Zero, y Microsoft considera poco probable su explotación.
- CVE-2026-92707: denegación de servicio en MessagePack-CSharp, un componente que usan Visual Studio y .NET. Es de gravedad moderada.
Entre los demás, las listas de BleepingComputer y Security Affairs destacan una ejecución remota de código crítica en Active Directory Domain Services (CVE-2026-70229), una escalada de privilegios sin autenticar en SharePoint Server (CVE-2026-102866, CVSS 8,1), una ejecución remota en SQL Server (CVE-2026-65674, CVSS 8,8) y 59 fallos potencialmente «wormables», es decir, capaces de propagarse solos, en servicios de red como DHCP, Remote Desktop Gateway y DNS. Si no gestionas servidores propios, la mayoría de estos no te afectan directamente; si los tienes, son los que hay que programar primero.
Por qué hay tantos parches de golpe
BleepingComputer y SecurityWeek atribuyen buena parte del récord al uso de inteligencia artificial para descubrir vulnerabilidades, aunque ninguna de las dos fuentes ofrece un desglose que lo demuestre. Microsoft ha introducido además 15 «cohortes de riesgo» para ayudar a priorizar la instalación, aunque aclara que esos grupos no indican qué fallos son más peligrosos. Para una pyme la consecuencia práctica es clara: con este volumen mensual, revisar a mano qué se ha instalado y qué no deja de ser realista.
El mismo boletín cierra el soporte de Windows 11 24H2
La actualización de octubre es también la última para Windows 11 24H2 Home y Pro y para Windows 10 Enterprise LTSB 2016, según BleepingComputer. Windows 11 23H2 Enterprise, Education e IoT Enterprise dejarán de recibir actualizaciones de seguridad en noviembre de 2026. Ya explicamos a quién afecta y qué hacer en nuestro artículo sobre el fin de soporte de Windows 11 24H2 y Office 2021; y si aún mantienes equipos con Windows 10, repasa también qué opciones tienes con las actualizaciones ESU.
Qué hacer en tu negocio esta semana
- Instala las actualizaciones acumulativas de octubre en todos los equipos, empezando por los de administración y facturación, que son los que más archivos externos abren.
- Desconfía de los archivos inesperados aunque Windows no muestre ningún aviso: con este fallo, la ausencia de advertencia ya no es una señal de que el archivo sea seguro.
- Si usas servidores Windows (DNS, DHCP, Escritorio remoto, Active Directory) o SharePoint y SQL Server en local, prográmales una ventana de mantenimiento esta misma semana.
- Comprueba la versión de Windows 11 de cada equipo: los que sigan en 24H2 Home o Pro dejan de recibir parches de seguridad.
Si no tienes quien lleve esto al día, nuestro servicio de mantenimiento informático incluye la revisión de actualizaciones, en remoto y con soporte presencial en Madrid y alrededores; si tu negocio está en Valdemoro, tienes los detalles en mantenimiento informático en Valdemoro. Para un diagnóstico más completo de tu exposición, puedes pedir una auditoría a medida.