Por Canuto  

Microsoft corrigió más de 1.400 fallos de seguridad en octubre, un récord mensual para la compañía; uno de ellos ya estaba bajo ataque. La actualización también reaviva el debate sobre cómo priorizar los parches cuando la inteligencia artificial ayuda a descubrir vulnerabilidades.
***

  • El paquete de octubre supera los 1.261 fallos corregidos por Microsoft durante todo 2020, su anterior año récord.
  • La vulnerabilidad CVE-2026-96951 afecta a Windows Shell y permite evadir Mark of the Web; Microsoft confirmó que ya hay explotación.
  • Expertos recomiendan que los equipos de seguridad atiendan primero los 26 fallos de Microsoft incluidos este año en el catálogo estadounidense de vulnerabilidades explotadas.

Microsoft corrige más de 1.400 fallos y uno ya está bajo ataque

Microsoft publicó el 13 de octubre un paquete de seguridad que corrige más de 1.400 vulnerabilidades, un récord mensual para la compañía. El dato rebasa los 1.261 errores corregidos durante todo 2020, que hasta ahora había sido su año récord, y llega después de que septiembre registrara casi 1.000. Entre las fallas de octubre, al menos 78 tienen clasificación crítica y una ya era utilizada por atacantes.

Un volumen de parches sin precedentes

El paquete de octubre destaca por una cifra que supera por sí sola el total anual de 2020, cuando Microsoft corrigió 1.261 vulnerabilidades. La comparación permite dimensionar el salto: el volumen de este mes no solo rompe el registro anterior, sino que también excede ampliamente la carga mensual que la compañía suele afrontar. El mes previo ya había marcado un máximo cercano a los 1.000 fallos, aproximadamente diez veces el ritmo mensual habitual señalado en la información publicada.

Satnam Narang, de Tenable, dijo a Brian Krebs que ya se había superado la marca de 4.000 CVE con dos meses todavía por delante. CVE es la identificación que se asigna a vulnerabilidades conocidas, y el comentario apunta a la magnitud acumulada de los errores registrados en el período al que se refería. La cifra no describe únicamente el paquete de octubre, sino que sitúa el récord mensual dentro de una tendencia más amplia de hallazgos.

Krebs on Security informó que Microsoft publicó las actualizaciones el 13 de octubre. La compañía clasificó al menos 78 de los fallos como críticos, y la mayoría de esos casos permitiría que un atacante ejecutara código de su elección en el sistema objetivo. Esa posibilidad vuelve especialmente importante revisar qué productos están afectados y qué medidas de actualización corresponden, aunque no todas las vulnerabilidades presentan el mismo nivel de riesgo ni requieren idéntica respuesta.

Una cantidad tan elevada de correcciones puede complicar la planificación de empresas que administran numerosos equipos y servicios. Los responsables de seguridad suelen probar las actualizaciones antes de distribuirlas, por lo que deben equilibrar la rapidez de instalación con la necesidad de comprobar que los parches funcionan en sus entornos. El récord, por tanto, no representa solo una estadística para Microsoft: también plantea un desafío operativo para quienes deben decidir qué corregir primero.

La vulnerabilidad de Windows que ya se explota

Entre los fallos corregidos, Microsoft señaló que uno ya estaba siendo utilizado en ataques. Se trata de CVE-2026-96951, una vulnerabilidad en Windows Shell que permite evadir Mark of the Web, la etiqueta que Windows agrega a archivos provenientes de internet para activar comprobaciones adicionales. Microsoft la calificó como “Importante” y le asignó una puntuación CVSS de 8,8, aunque el aviso también señala que el ataque requiere una acción de la víctima. Tenable también la describió como una vulnerabilidad de omisión de una función de seguridad en Windows Shell y reportó esa puntuación en su análisis del Patch Tuesday de octubre.

Según la descripción de Microsoft, el atacante tendría que enviar un archivo manipulado por correo electrónico o mensajería instantánea, o dirigir a la persona hacia un sitio malicioso mediante un enlace. Para que el ataque avance, la víctima debe abrir el archivo o interactuar con el contenido señalado. Ese requisito no elimina el riesgo, pero sí ayuda a distinguir la vulnerabilidad de un ataque que pudiera ejecutarse sin intervención del usuario.

La corrección abarca Windows 10, Windows 11, Windows Server y Outlook.com, de acuerdo con la información del aviso. Microsoft atribuyó el hallazgo a Riku Bamba y Yuya Chudo, de Fujitsu, y a un investigador identificado como yhw. También reconoció a Benoit Sevens, cuya atribución aparece como “usando Claude con Anthropic”, un detalle que muestra la presencia de herramientas de inteligencia artificial en el proceso de investigación mencionado por la compañía.

Microsoft no informó quién estaría explotando la falla ni quiénes serían los objetivos de los ataques. Esa falta de datos impide precisar el alcance de la actividad, pero no cambia el hecho central comunicado por la empresa: la vulnerabilidad ya estaba bajo explotación cuando se publicó la corrección. Para los administradores, la prioridad práctica es identificar los sistemas afectados y evaluar la instalación del parche, junto con las políticas internas para advertir a usuarios sobre archivos y enlaces sospechosos.

Otro fallo era público y la IA amplía los hallazgos

El paquete también incluyó una segunda vulnerabilidad, esta vez en .NET Framework, que ya era pública antes de que Microsoft difundiera una corrección. La exposición pública de un fallo puede dar más tiempo a terceros para analizarlo y estudiar posibles formas de explotación, aunque ese escenario no confirma por sí mismo que alguien lo haya utilizado en ataques. Microsoft indicó que no había observado señales de explotación de esta vulnerabilidad al momento de su aviso.

La diferencia entre ambos casos importa para la gestión de riesgos: uno ya tenía explotación confirmada por Microsoft y el otro era conocido públicamente, pero sin señales de ataques reportadas por la compañía. Esos estados no deben confundirse, porque describen evidencias distintas y pueden influir en el orden de respuesta de cada organización. La información disponible no identifica atacantes ni víctimas para ninguno de los dos fallos.

La empresa atribuyó parte del aumento de vulnerabilidades detectadas a los grandes modelos de lenguaje, según el reporte de Krebs. En julio, Microsoft había dicho que la inteligencia artificial ayudó a encontrar los errores detrás del récord registrado entonces. La noticia no especifica cuántos fallos del paquete de octubre fueron descubiertos con estas herramientas, por lo que no es posible asignarles una proporción concreta.

La referencia a la IA también apareció en una declaración del director ejecutivo de Bank of America, quien afirmó que 1.000 contratistas están corrigiendo fallos expuestos por esta tecnología. La cifra no se refiere a trabajadores de Microsoft ni describe el equipo que preparó el paquete de octubre; corresponde a la declaración citada sobre el trabajo de corrección en Bank of America. En conjunto, los datos señalan que descubrir errores con mayor rapidez puede aumentar el trabajo necesario para evaluarlos y resolverlos.

La prioridad para los equipos de seguridad

Los especialistas en seguridad advierten que paquetes de este tamaño elevan la presión sobre los equipos corporativos, que normalmente prueban cada actualización antes de desplegarla. Esa revisión puede ser necesaria para evitar problemas en los sistemas de una organización, pero también consume tiempo cuando coinciden cientos de correcciones. En un escenario así, responder a todos los fallos con la misma urgencia puede dificultar la asignación de recursos y retrasar la atención de los riesgos más inmediatos.

Tyler Reguly, de Fortra, dijo a Krebs que solo 26 vulnerabilidades de Microsoft habían ingresado este año al catálogo de errores explotados del gobierno de Estados Unidos. Su recomendación fue que los equipos atiendan primero esas 26, una orientación centrada en fallos que ya aparecen en ese registro y no en una evaluación exhaustiva de cada parche del mes. La cifra ofrece un criterio para ordenar tareas, aunque no reemplaza la revisión del contexto particular de cada organización.

Reguly sostuvo que los responsables de seguridad deberían concentrarse en el riesgo de explotación y preguntarse si sus equipos cuentan con claridad, capacidad y apoyo para actuar. La observación pone el foco no solo en la cantidad de errores, sino también en la posibilidad real de responder a ellos con recursos y prioridades definidos. Cuando el volumen de avisos crece, una lista ordenada por riesgo puede ayudar a evitar que la urgencia del recuento desplace la evaluación de amenazas concretas.

El caso de CVE-2026-96951 brinda una señal específica para esa priorización, porque Microsoft informó que ya estaba bajo ataque y describió la interacción necesaria para explotarlo. A su vez, el fallo público de .NET Framework requiere seguimiento, aunque la empresa dijo no haber detectado indicios de explotación. El paquete récord combina así riesgos con estados distintos, y la recomendación de los expertos es enfocar la respuesta en la evidencia disponible sin perder de vista los sistemas y usuarios expuestos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados