1.411 vulnerabilidades, 70 críticas: el típico martes en Microsoft queda definitivamente cancelado.

El Patch Tuesday de octubre se convirtió en un nuevo récord para Microsoft. BleepingComputer contó 1411 vulnerabilidades corregidas, entre las cuales 70 recibieron calificación crítica. El anterior récord de septiembre en 966 problemas duró solo un mes.

La mayor parte fueron errores de elevación de privilegios, ejecución remota de código y divulgación de información. En la publicación se incluyeron 677 problemas de elevación de privilegios, 317 RCE, 254 filtraciones de datos, 73 denegaciones de servicio, 40 evasiones de protección y 28 suplantaciones. Otras 348 vulnerabilidades Microsoft las corrigió antes en octubre y no las incluyó en el conteo total de Patch Tuesday.

El principal riesgo está relacionado con CVE-2026-96951, con una puntuación de 8,8 según CVSS 3.1. La vulnerabilidad en Windows Shell permite eludir Mark of the Web, que alerta al sistema sobre archivos procedentes de fuentes no confiables. Microsoft confirmó la explotación en ataques reales, y CISA añadió el problema al catálogo de vulnerabilidades conocidas explotadas (KEV).

Otra vulnerabilidad divulgada públicamente, CVE-2026-108398, con una puntuación de 8,8 según CVSS 3.1, afecta a .NET Framework. Un usuario local autorizado puede colocar un ensamblado .NET especialmente preparado y lograr que un proceso protegido lo cargue. Un ataque exitoso elude Windows Defender Application Control y ejecuta código sin interacción del usuario.

CVE-2026-92707 obtuvo 5,3 puntos según CVSS 3.1 y afecta a MessagePack-CSharp. El fallo permite que un atacante remoto no autorizado provoque una denegación de servicio mediante la asignación descontrolada de memoria. BleepingComputer clasifica el problema como un zero-day divulgado públicamente, aunque distintos recuentos de la publicación de octubre difieren en el número de CVE y errores críticos.

Microsoft se enfrentó no solo al volumen récord de parches, sino también al problema de su priorización. La compañía dividió las CVE de octubre en 15 grupos de riesgo experimentales. Los más grandes abarcan sistemas de archivos y almacenamiento, Office, gráficos y componentes multimedia, el núcleo de Windows, así como los servicios de instalación y actualización. Ese enfoque no sustituye el análisis de cada CVE, pero reduce el trabajo repetitivo de los administradores.

Microsoft había atribuido anteriormente el aumento del número de correcciones, en parte, a una búsqueda de errores más activa mediante inteligencia artificial. La magnitud de la publicación de octubre confirma la tendencia, aunque las metodologías de conteo difieren. Tenable contó 1407 CVE y 69 problemas críticos. La diferencia no cambia el estatus de la publicación como la mayor en la historia de Patch Tuesday.

El 13 de octubre también fue el último día de soporte regular para Windows 11 24H2 Home y Pro y para Windows 10 Enterprise LTSB 2016. Los paquetes de octubre fueron sus últimas actualizaciones de seguridad mensuales. Para los sistemas compatibles, Microsoft recomienda instalar las correcciones vigentes cuanto antes, priorizando las vulnerabilidades ya explotadas y las más peligrosas.