Microsoft ha lanzado actualizaciones para solucionar más de 1.400 vulnerabilidades de seguridad en sus sistemas operativos Windows y otros software. Esta actualización supera con creces el récord de septiembre, que ya había alcanzado casi 1.000 correcciones, y es aproximadamente diez veces la carga mensual normal de parches de la compañía. Entre las debilidades corregidas esta semana, se encuentra una considerada «zero day», que ya estaba siendo explotada. La vulnerabilidad CVE-2026-96951 es un bypass de características de seguridad en el Windows Shell que afecta a los sistemas Windows 10 y 11, así como a algunas versiones de Server.
Los usuarios de Windows 10 pueden preguntarse si seguirán recibiendo actualizaciones de seguridad después de este mes. Microsoft había planeado dejar de enviar actualizaciones para sistemas Windows 10 en octubre de 2025, pero tras recibir una considerable oposición, decidió añadir otro año de actualizaciones gratuitas, extendiendo el soporte hasta octubre de 2027. Al menos 78 de las vulnerabilidades corregidas este mes están clasificadas como «críticas», lo que significa que podrían ser explotadas con poco o ningún esfuerzo por parte del usuario, permitiendo a un atacante ejecutar código a su elección en el sistema vulnerable.
Aunque Microsoft ha indicado que no hay señales de que alguien esté explotando la vulnerabilidad CVE-2026-108398, un bypass de características de seguridad en el .NET Framework que fue divulgado públicamente antes de hoy, los expertos en seguridad advierten que estas grandes oleadas de parches están ejerciendo una presión adicional sobre los equipos de seguridad corporativos, que a menudo deben probar actualizaciones individuales antes de implementarlas en toda la red para garantizar que las correcciones no causen problemas en otro software.
Qué significa para su organización
Las organizaciones que utilizan sistemas Windows, especialmente aquellas que operan con Windows 10 y 11, deben priorizar la aplicación de estos parches, en particular aquellos clasificados como críticos. Es recomendable que los equipos de seguridad revisen las vulnerabilidades que aparecen en el catálogo de «Vulnerabilidades Conocidas Explotadas» (KEV) de la CISA y se centren en las 26 vulnerabilidades que han sido identificadas como explotables este año. Además, es crucial que se realicen pruebas exhaustivas de las actualizaciones antes de su implementación para evitar conflictos con otros sistemas operativos o aplicaciones en uso.
