El Patch Tuesday de octubre de 2026 es el mayor de la historia de Microsoft: más de 1.400 vulnerabilidades corregidas en una sola tanda publicada el 13 de octubre. La cifra exacta varía según quién cuente: 1.415 para Zero Day Initiative, 1.413 para CrowdStrike y 1.414 para PDQ. Solo una está siendo explotada activamente, y es la que conviene parchear primero.
Según Zero Day Initiative, es el primer volumen de cuatro cifras que han visto, y supera el de cualquier año completo anterior de Microsoft.
¿Qué vulnerabilidad está siendo explotada?
La única con explotación activa confirmada es CVE-2026-96951, un fallo en Windows Shell que permite saltarse la protección Mark of the Web, la marca que avisa al usuario de que un archivo viene de internet. Tiene una puntuación CVSS de 8,8 y requiere que la víctima abra un archivo preparado. La agencia estadounidense CISA la añadió a su catálogo de vulnerabilidades explotadas el mismo 13 de octubre.
Hay otras dos divulgadas públicamente antes del parche, aunque sin explotación conocida: CVE-2026-108398, en .NET Framework (CVSS 8,8), y CVE-2026-92707, en MessagePack-CSharp (CVSS 5,3).
¿Qué más hay que mirar entre tanto parche?
Según CrowdStrike, 75 de los fallos son críticos (PDQ cuenta 78). Por tipos, el 48 % son de elevación de privilegios, el 22 % de ejecución remota de código y el 18 % de fuga de información.
Entre los críticos con CVSS de 9,8 destacan cinco en Outlook, dos en el protocolo QUIC, uno en el servidor DHCP, otro en MSMQ y otro en PowerPoint. Las puntuaciones más altas, 10 y 9,9, corresponden a servicios en la nube (Partner Center y Bookings) que Microsoft corrige sin que el cliente tenga que hacer nada. Dustin Childs, de ZDI, cuenta además 59 fallos con potencial de propagarse como gusano.
¿Por qué hay tantas vulnerabilidades?
En parte, es la IA aplicada a encontrar fallos, según Dustin Childs en el blog de ZDI. Lo resume con una idea clara: la IA no crea los errores de la nada, sino que el descubrimiento está creciendo más deprisa que la explotación.
La progresión del año encaja con esa idea. En junio, unas 200 vulnerabilidades ya fueron récord, según Computer Weekly. En julio, el récord pasó a las 570 que contamos cuando Microsoft atribuyó a la IA su mayor Patch Tuesday hasta entonces. En septiembre fueron 974, según Dark Reading. Lo mismo ocurre fuera de Microsoft: Google arregló más bugs de Chrome en junio que en los dos años anteriores juntos.
Mi lectura es que la cifra récord asusta más de lo que debería y menos de lo que merece. Más de 1.400 vulnerabilidades corregidas no significan un Windows mil veces más inseguro, sino que ahora se encuentran fallos que antes pasaban desapercibidos. El problema es operativo: cada parche hay que probarlo y desplegarlo, y como recordamos con la actualización de junio que corrigió 208 fallos y metió cuatro bugs nuevos, los parches también se equivocan. Para un equipo de IT, la prioridad está clara: CVE-2026-96951 primero, los críticos de Outlook y servidores expuestos después.
☞ El artículo completo original de Natalia Polo lo puedes ver aquí
No hay comentarios.:
Publicar un comentario