Microsoft ha publicado su mayor tanda de actualizaciones de seguridad hasta la fecha: 1.411 vulnerabilidades corregidas y tres fallos de día cero, uno de ellos ya explotado activamente. El boletín coincide además con el fin del soporte para Windows 11 24H2 Home y Pro, así que os contamos qué ediciones se quedan sin parches y cómo afecta el error de Windows Shell que los atacantes están aprovechando ahora mismo.
Nos encontramos ante el Patch Tuesday más voluminoso que ha publicado la compañía: setenta de esas vulnerabilidades llevan la etiqueta de críticas y la mayoría permite ejecutar código de forma remota. Repasamos a continuación el desglose completo, los tres zero-days que conviene vigilar y las versiones de Windows que dejan de recibir parches a partir de hoy.
Vulnerabilidades que corrige el Patch Tuesday de octubre
El recuento oficial de Microsoft para este mes llega a las 1.411 vulnerabilidades, la cifra más alta registrada hasta ahora. De ellas, 70 están marcadas como críticas: 57 permiten ejecución remota de código, 11 son de elevación de privilegios y 2 de suplantación de identidad. De hecho, ocho de cada diez vulnerabilidades críticas corresponden a fallos de ejecución remota de código, el tipo de vulnerabilidad que permite tomar el control de un sistema sin necesidad de acceso físico ni credenciales.
El desglose completo por categorías queda así: 677 fallos de elevación de privilegios, 317 de ejecución remota de código, 254 de divulgación de información, 73 de denegación de servicio, 40 de elusión de funciones de seguridad y 28 de suplantación. Esta cifra corresponde exclusivamente a los fallos publicados el propio martes de parches, de modo que deja fuera otras 348 vulnerabilidades que Microsoft ya había corregido a lo largo del mes en servicios como Azure API Center, Azure App Service, Microsoft Exchange Server o Microsoft Dataverse.
Los tres zero-days y cómo afectan a Windows
Microsoft ha corregido tres vulnerabilidades de día cero en este ciclo: una ya explotada activamente y dos divulgadas públicamente antes de contar con un parche oficial. La compañía clasifica un fallo de día cero como explotado activamente o divulgado públicamente cuando, en el momento de solucionarlo, todavía no existía ninguna actualización oficial disponible. Los tres fallos afectan a piezas muy distintas del ecosistema de Windows, desde el explorador de archivos hasta el framework .NET y una librería de serialización que usan muchas aplicaciones, así que merece la pena repasarlas una por una.
CVE-2026-96951, el fallo de Windows Shell que ya se explota en ataques reales
La vulnerabilidad más urgente de este boletín es la CVE-2026-96951, un fallo de Windows Shell que permite saltarse la protección Mark of the Web, la marca que Windows añade a los archivos descargados de internet para avisar al usuario de su procedencia. Microsoft lo describe como una neutralización incorrecta de elementos especiales en un comando, lo que permite a un atacante no autorizado eludir esta función de seguridad a través de la red.
La compañía no ha detallado cómo se está explotando ni quién lo ha reportado, pero confirma que ya hay ataques activos. Este tipo de elusión suele aprovecharse de campañas que distribuyen archivos comprimidos o ejecutables camuflados como documentos, precisamente porque esquivan el aviso que normalmente hace dudar al usuario antes de abrir un archivo de origen desconocido. Por eso conviene priorizar este parche en cualquier equipo que reciba con frecuencia archivos externos, ya sea por correo o por descarga directa.
CVE-2026-108398, la vía para saltarse WDAC en .NET Framework
Descubierta por James Forshaw, de Google Project Zero, esta vulnerabilidad afecta al .NET Framework y permite ejecutar aplicaciones no autorizadas. Microsoft explica que un atacante autenticado puede colocar un ensamblado .NET manipulado y registrarlo para que lo cargue un proceso protegido, sin que haga falta ninguna interacción por parte del usuario.
El resultado es que las restricciones de Windows Defender Application Control (WDAC), la función que limita qué aplicaciones y qué código puede ejecutar un equipo, quedan sin efecto frente a este tipo de ataque. Microsoft clasifica este zero-day como divulgado públicamente, lo que significa que el detalle técnico ya circulaba antes de que existiera un parche oficial. Se trata de un fallo local, no explotable a distancia, pero especialmente relevante para organizaciones que usan WDAC como barrera frente a software no autorizado en equipos críticos.
CVE-2026-92707, denegación de servicio en MessagePack-CSharp
El tercer zero-day corregido este mes es una denegación de servicio que afecta a MessagePack-CSharp, provocada por una asignación de memoria secuencial mal controlada en .NET. Microsoft no ha revelado quién descubrió el fallo.
MessagePack es un formato de serialización binaria que muchas aplicaciones .NET utilizan para intercambiar datos de forma más compacta que JSON, así que el fallo afecta sobre todo a desarrolladores y servicios que lo integran en sus proyectos. Al tratarse de un fallo remoto, no requiere que el atacante tenga acceso previo al sistema, lo que amplía el número de servicios expuestos si no se aplica el parche correspondiente. Microsoft clasifica este caso como divulgación pública, no como explotación activa, aunque recomienda aplicar el parche cuanto antes.
Ediciones de Windows dejan de recibir actualizaciones
Además de los parches, el mes de octubre de 2026 marca el final del ciclo de vida para varios sistemas. Microsoft confirma que Windows 11, versión 24H2 Home y Pro, y Windows 10 Enterprise LTSB 2016 han llegado al fin de las actualizaciones: la de este mes es la última que recibirán estas ediciones.
A esto se suma un aviso que la compañía lanzó a principios de mes: las ediciones Windows 11 23H2 Enterprise, Education e IoT Enterprise dejarán de recibir parches de seguridad a partir del próximo mes. Si vuestros equipos, o los de vuestra organización, siguen funcionando con alguna de estas versiones, conviene planificar ya la migración a una edición compatible. A partir de ese momento, cualquier vulnerabilidad nueva que aparezca en esas versiones se quedará sin parche oficial, lo que amplía la ventana de riesgo cuanto más tiempo pase un equipo sin actualizar el sistema operativo a una edición soportada.
Cómo mantener Windows actualizado
Con este volumen de parches y el fin de soporte de varias ediciones sobre la mesa, la prioridad pasa por instalar cuanto antes las actualizaciones acumulativas de Windows 11 (KB5127648 y KB5126653) y la actualización de seguridad ampliada de Windows 10 (KB5126657).
Como la CVE-2026-96951 ya se explota activamente para saltarse Mark of the Web, conviene dar prioridad a los equipos que manejan con frecuencia archivos descargados de internet o correos de origen dudoso. En entornos corporativos, además, toca revisar las políticas de Windows Defender Application Control para contener el impacto de la elusión detectada en .NET Framework, y acelerar la migración de los equipos que se quedan sin soporte este mes.
Para quienes gestionan parques de equipos grandes, también es buen momento para comprobar el estado de WSUS o del gestor de actualizaciones que uséis, ya que un volumen de parches tan elevado puede tensionar los ciclos de despliegue habituales si no se prioriza correctamente.
Por qué Microsoft bate el récord de parches: ayuda la IA
La cifra de 1.411 vulnerabilidades no solo bate un récord por volumen: también refleja un cambio de método. Microsoft sigue recurriendo a plataformas de inteligencia artificial para detectar y corregir fallos de seguridad en sus productos a mayor escala.
Microsoft no ha detallado qué porcentaje de las 1.411 vulnerabilidades de este mes se identificó mediante estas herramientas automatizadas frente al trabajo manual de sus analistas, por lo que el peso exacto de la inteligencia artificial en este récord concreto queda pendiente de precisar.