Microsoft publicó el martes 13 de octubre su paquete mensual de seguridad, el Patch Tuesday, y bate récords: según BleepingComputer y SecurityWeek, nunca había corregido tantas. Son más de 1,400 vulnerabilidades en Windows, Office, .NET, Azure y el resto de sus productos. Una de ellas, la CVE-2026-96951, ya se estaba aprovechando en ataques reales antes del parche: permite que un archivo descargado de internet se salte Mark of the Web, la marca con la que Windows avisa de que un archivo viene de fuera. Este parche también es el último para Windows 11 24H2 Home y Pro.
Microsoft publica sus correcciones de seguridad el segundo martes de cada mes. El boletín oficial de octubre reúne unas 1,760 entradas, pero unas 350 se habían publicado antes durante el mes, sobre todo de servicios de Azure, Exchange Server y Dataverse. Por eso cada medio da un total algo distinto: BleepingComputer cuenta 1,411 fallos publicados el martes, 70 de ellos críticos; Tenable, 1,407, y SecurityWeek, 1,413.
Según el recuento de BleepingComputer, casi la mitad son elevaciones de privilegios (677), 317 permiten ejecutar código a distancia, 254 revelan información, 73 provocan denegaciones de servicio, 40 se saltan alguna función de seguridad y 28 son de suplantación. Entre los críticos hay fallos de ejecución remota de código en los Servicios de dominio de Active Directory y en Azure App Service.
Claves del parche de octubre
- El fallo que ya se aprovechaba. La CVE-2026-96951 es una inyección de órdenes en el shell de Windows con una puntuación CVSS de 8.8. Microsoft explica que el atacante tiene que conseguir que la víctima abra un archivo preparado o pulse un enlace, por ejemplo en un correo o un mensaje. Si lo consigue, el archivo esquiva Mark of the Web: Windows lo trata como si no viniera de internet, sin el aviso de seguridad ni las protecciones que dependen de esa marca. Afecta a todas las versiones con soporte, desde Windows 10 1607 hasta Windows 11 26H2, y desde Windows Server 2012 R2 hasta Server 2025.
- Quién lo encontró. Microsoft reconoce a cuatro informantes: el investigador conocido como yhw, Riku Bamba y Yuya Chudo, de Fujitsu, y Benoit Sevens, que según el boletín lo encontró «usando Claude con Anthropic». Microsoft no da detalles de los ataques ni de quién estaba detrás.
- Dos fallos más, ya públicos antes del parche. La CVE-2026-108398, en .NET Framework, también tiene un 8.8. Requiere acceso local y, según BleepingComputer, permite saltarse el control de aplicaciones de Windows (WDAC). La descubrió James Forshaw, de Google Project Zero. La CVE-2026-92707, en la librería MessagePack-CSharp de .NET, puede tumbar un servicio a distancia y es de gravedad moderada. Ninguna de las dos se ha visto en ataques.
- La CISA pone plazo. La agencia de ciberseguridad de Estados Unidos añadió la CVE-2026-96951 a su catálogo de vulnerabilidades explotadas el mismo día 13 y da a las agencias federales hasta el 16 de octubre para parchear.
- Fin de soporte. Windows 11 24H2 en sus ediciones Home y Pro deja de recibir actualizaciones con este parche: quien siga en esa versión tiene que pasar a la 25H2 o a la 26H2. Según BleepingComputer, también es el último para Windows 10 Enterprise LTSB 2016, y Windows 11 23H2 Enterprise y Education tendrán su último parche en noviembre.
Por qué importa
Mark of the Web es una de las defensas más silenciosas y útiles de Windows. Es lo que hace que un documento de Office descargado se abra en modo protegido, con las macros bloqueadas, o que Windows avise antes de ejecutar un programa bajado de internet. Saltársela es un paso clásico en las campañas de correo malicioso: no da el control del equipo por sí solo, pero quita el aviso que habría frenado a la víctima. Por eso Microsoft la marca como «Importante» y no como crítica, y aun así es la que conviene instalar primero.
El crédito del fallo explotado también dice algo: uno de los investigadores lo encontró con Claude, el modelo de Anthropic. La IA ya forma parte del trabajo diario de quienes buscan vulnerabilidades, y paquetes de más de 1,400 correcciones dejan a administradores y usuarios con menos margen para aplazar los parches.
Datos contrastados con el boletín de seguridad de octubre de Microsoft (MSRC), el catálogo de vulnerabilidades explotadas de la CISA y el ciclo de vida de Windows 11 Home y Pro; recuentos de BleepingComputer, Tenable y SecurityWeek. Portada: portátil con la instalación de Windows, foto de I G, Wikimedia Commons, CC BY 2.0 (recortada, con degradado).