Microsoft ha publicado el Patch Tuesday de septiembre de 2026 con una cifra que rompe todos los registros anteriores: 966 vulnerabilidades corregidas en sus sistemas operativos y aplicaciones. Entre los fallos solucionados hay dos zero-days que ya se explotaban activamente antes de que existiera un parche oficial, así que os conviene actualizar los equipos cuanto antes. Se trata de la tanda de actualizaciones más extensa que la compañía ha publicado hasta la fecha.
La cifra de este mes supera con holgura los 570 fallos que Microsoft corrigió en julio y los 400 de agosto, así que nos encontramos ante una escalada progresiva en los últimos meses. Ese total de 966 corresponde solo a los parches publicados este martes: no incluye los 204 fallos que la compañía ya había corregido a principios de septiembre en productos como Azure AI Language, Azure Cosmos DB, Copilot Studio, Entra ID o Microsoft Edge. El repunte coincide con la puesta en marcha de un sistema de detección de vulnerabilidades basado en inteligencia artificial, que Microsoft usa para rastrear su código con mayor profundidad.
Dos zero-days que ya circulaban activamente
Entre las vulnerabilidades críticas hay dos que ya contaban con exploit activo cuando llegó el parche. Microsoft cataloga como zero-day cualquier fallo explotado o divulgado públicamente antes de disponer de una solución oficial, y este mes ha identificado dos casos con esas características que conviene tener en el radar.
El primero, CVE-2026-81963, afecta a la pila de Windows Update. El fallo permite a un atacante elevar privilegios de forma local mediante una resolución incorrecta de enlaces antes del acceso a archivos, lo que le concede permisos de SYSTEM. Microsoft atribuye su hallazgo a Romain Deperne y al Centro de Inteligencia de Amenazas de la propia compañía (MSTIC), aunque no ha detallado cómo se ha explotado en ataques reales.
El segundo, CVE-2026-85880, reside en el mecanismo de Llamada a Procedimiento Local Avanzado (ALPC) de Windows. Se trata de un desbordamiento de búfer basado en montículo que también desemboca en elevación de privilegios local. Los créditos de este descubrimiento van a Volexity y a los investigadores Mark Kelly, David Galazin y Jeremy Hedges, de Proofpoint. Tampoco en este caso ha ofrecido Microsoft detalles sobre el vector de ataque utilizado, así que no sabemos con precisión cómo han llegado los atacantes hasta ahí.
Cómo se reparten los 966 fallos de seguridad de Windows
De las 105 vulnerabilidades marcadas como críticas, 81 permiten ejecución de código remoto, 20 son de elevación de privilegios, 2 de divulgación de información y 1 de omisión de funciones de seguridad.
En el conjunto de las 966 correcciones, la categoría más numerosa es la elevación de privilegios, con 438 fallos, seguida por la ejecución de código remoto, con 258. Le siguen 173 vulnerabilidades de divulgación de información, 56 de denegación de servicio, 19 de omisión de funciones de seguridad y 16 de suplantación de identidad.
Junto a los parches de seguridad, Microsoft ha publicado las actualizaciones acumulativas que debéis instalar para que estas correcciones lleguen a vuestros equipos. Windows 11 recibe las compilaciones KB5124008 y KB5122880, mientras que Windows 10 incorpora la actualización extendida KB5122878. Esta última suele estar asociada al programa de actualizaciones de seguridad extendidas (ESU), pensado para los equipos que ya superaron el fin del soporte gratuito estándar.
Nuevos certificados Secure Boot
Por otro lado, os diremos que la KB5122878 amplía la cobertura de dispositivos que reciben automáticamente los nuevos certificados Secure Boot, gracias a datos adicionales de segmentación de alta confianza. El despliegue de estos certificados, que sustituyen a los emitidos en 2011, seguirá extendiéndose durante los próximos meses tanto en PC compatibles como en equipos empresariales sin gestión centralizada. Este proceso de renovación afecta tanto a equipos domésticos con ESU como a estaciones LTSC dentro de organizaciones que dependen de Secure Boot para validar el arranque.
El objetivo de esta renovación es evitar que los sistemas que dependen de certificados antiguos queden expuestos una vez estos caduquen, ya que comprometería la validación del proceso de arranque. Esta expansión de cobertura reduce además el riesgo de que equipos antiguos queden fuera del ciclo de renovación cuando los certificados originales caduquen por completo. Por otro lado, el acumulativo ajusta la zona horaria estándar de Marruecos para reflejar su transición a un horario permanente de UTC+00:00, que entra en vigor el 20 de septiembre de 2026. Con este cambio, los equipos mostrarán la hora local correcta a partir de esa fecha, algo relevante para quienes gestionáis tareas programadas o registros con marca temporal en esa región.
Escritorio Remoto, BitLocker y otros ajustes
El paquete de actualizaciones corrige un fallo en la redirección de audio de Escritorio Remoto que, en determinadas configuraciones, impedía escuchar el sonido de la sesión remota en el equipo local. También resuelve el problema conocido que obligaba a introducir la clave de recuperación de BitLocker en dispositivos con una directiva de grupo no recomendada.
Además, mejora el registro de depuración del cliente OMA DM (omadmclient.exe) al conectar con un servidor, lo que facilita el diagnóstico en entornos gestionados. La actualización también refuerza la compatibilidad de aplicaciones durante la rotación de autoridades de certificación, reconociendo el nuevo certificado Microsoft Windows Production PCA 2026 RSA2048-SHA256 como equivalente al PCA 2011, un paso necesario para que las políticas de integridad de código no bloqueen software firmado con el certificado más reciente. Estos ajustes no cambian la experiencia visible del sistema, pero resuelven fricciones habituales en entornos corporativos que dependen de sesiones remotas y cifrado de disco.
Otros desarrolladores lanzan sus parches
El aluvión de correcciones no se ha limitado a Microsoft. Varios proveedores han publicado avisos o actualizaciones propias durante las mismas semanas, algunos de ellos también por fallos ya explotados. Si administráis alguno de estos productos, no está de más revisar sus paneles de actualización esta misma semana:
- Adobe corrigió un zero-day de máxima gravedad en Adobe Commerce, bautizado como StyleSmuggler, usado para instalar puertas traseras en tiendas online.
- Google publicó una actualización de Chrome para un zero-day de alta severidad en el motor V8, además de otras 11 vulnerabilidades.
- SonicWall solucionó dos zero-days en SMA1000 que estaban siendo encadenados en ataques de ejecución remota de código.
- MikroTik reparó dos fallos explotados activamente para secuestrar dispositivos a través de SSH.
Así se instalan los parches de septiembre
Al igual que ocurre todos los meses, la instalación de estos parches es obligatoria dentro del ciclo de actualizaciones de seguridad de Microsoft. La razón es que se centran en corregir las vulnerabilidades de seguridad incluidas en el boletín y recientemente descubiertas.
Debemos tener presente que la instalación de estos nuevos parches nos llega a través de Windows Update. Basta con entrar en el menú Inicio, abrir la app de Configuración y pulsar en Buscar actualizaciones. En ese momento el equipo descargará automáticamente el paquete correspondiente a nuestra versión del sistema. Si gestionamos varios equipos o preferimos el despliegue manual, siempre podemos descargar los paquetes independientes desde el Catálogo de Microsoft Update a través de este enlace.