La versión de Patch Tuesday de Microsoft de septiembre de 2026 corrige 974 CVE de Microsoft, lo que la convierte en la mayor versión de Patch Tuesday hasta la fecha. La versión abarca clientes y servidores Windows, aplicaciones de Microsoft 365, SQL Server, Exchange Server, Azure, herramientas para desarrolladores, servicios de identidad, componentes de acceso remoto y subsistemas centrales de Windows. Microsoft también está volviendo a publicar 25 CVE que no son de Microsoft.
Dos vulnerabilidades ya están siendo explotadas activamente: CVE-2026-85880 en Windows Advanced Local Procedure Call (ALPC) y CVE-2026-81963 en la pila de Windows Update. Ambas son vulnerabilidades de elevación de privilegios clasificadas como importantes, lo que refuerza por qué el estado de explotación debe tener prioridad sobre las etiquetas de gravedad por sí solas.
Con casi 1.000 CVE de Microsoft por evaluar, los equipos de TI necesitan una implementación basada en riesgos que tenga en cuenta la explotación activa, la exposición del sistema, la criticidad para el negocio y el papel que desempeña cada sistema afectado en el entorno.
Desglose de parches de Microsoft de septiembre de 2026
De los 973 CVE con información detallada sobre la gravedad, Microsoft calificó 113 como críticos y 860 como importantes. Microsoft indica que 964 requieren la intervención del cliente, mientras que nueve se resolvieron dentro de la infraestructura en la nube de Microsoft.
Categoría | Septiembre de 2026 |
CVE de Microsoft abordados | 974 |
Crítico | 113 |
Importante | 860 |
CVE que requieren tu intervención | 964 |
Zero-days explotados activamente | 2 |
Vulnerabilidades críticas de ejecución remota de código | 82 |
CVE no relacionados con Microsoft republicados | 25 |
La elevación de privilegios y la ejecución remota de código representan la mayor parte de la publicación:
Tipo de vulnerabilidad | Cantidad |
Elevación de privilegios | 438 |
Ejecución remota de código | 258 |
Divulgación de información | 173 |
Denegación de servicio | 56 |
Omisión de funciones de seguridad | 19 |
Suplantación de identidad | 16 |
Manipulación | 13 |
La gran cantidad de vulnerabilidades de elevación de privilegios y ejecución remota de código hace especialmente importante identificar los sistemas con más probabilidades de proporcionar una vía de acceso privilegiado o una vulneración más amplia.
Dónde se concentran las vulnerabilidades
Windows representa la mayoría de las vulnerabilidades de este mes, pero la publicación también afecta a aplicaciones de productividad y a infraestructura crítica de servidores.
Familia de productos | Vulnerabilidades corregidas | Actualizaciones distintas |
Windows | 723 | 32 |
Office | 111 | 11 |
Office 2016 | 111 | 18 |
SQL Server | 62 | 1 |
Herramientas para desarrolladores | 22 | 36 |
SharePoint Server | 16 | 3 |
Azure | 12 | 4 |
Skype for Business | 10 | 3 |
Exchange Server | 9 | 4 |
Otros | 9 | 9 |
Dos vulnerabilidades de día cero explotadas activamente requieren atención inmediata
Microsoft ha confirmado la explotación activa de dos vulnerabilidades de elevación de privilegios en Windows.
CVE | Componente afectado | Gravedad | Estado de explotación | Por qué importa |
CVE-2026-85880 | Llamada a procedimiento local avanzada de Windows | Importante | Explotación detectada | Una explotación exitosa puede permitir que un atacante eleve privilegios desde un contexto de usuario estándar hasta SYSTEM. |
CVE-2026-81963 | Pila de actualización de Windows | Importante | Explotación detectada | Una explotación exitosa puede otorgar a un atacante privilegios elevados y mayor control sobre un sistema Windows comprometido. |
Las vulnerabilidades de elevación de privilegios suelen requerir que un atacante tenga primero algún nivel de acceso, pero pueden ayudar a convertir un acceso limitado en control del sistema afectado. Dado que Microsoft ya ha detectado explotación, ambas vulnerabilidades deberían priorizarse por delante de las vulnerabilidades priorizadas solo por gravedad o riesgo teórico.
Vulnerabilidades críticas que debes priorizar a continuación
Microsoft calificó 113 vulnerabilidades como críticas, incluidas 82 vulnerabilidades de ejecución remota de código. En lugar de tratarlas como un grupo uniforme, priorízalas según la infraestructura afectada, su nivel de exposición y el impacto potencial de una vulneración.
Servidor DNS de Windows
Seis vulnerabilidades críticas de ejecución remota de código afectan al Servidor DNS de Windows:
CVE-2026-69730
CVE-2026-69827
CVE-2026-69858
CVE-2026-69813
CVE-2026-77505
CVE-2026-72987
El DNS es fundamental para las redes Windows y los entornos de Active Directory. Da prioridad a los servidores DNS integrados en el dominio y a cualquier sistema afectado al que se pueda acceder desde redes no confiables.
Infraestructura de identidad y dominio
La publicación incluye vulnerabilidades críticas de ejecución remota de código en varios componentes clave de la autenticación de Windows:
CVE | Componente afectado |
CVE-2026-69712 | Centro de distribución de claves de Windows |
CVE-2026-69676 | Windows Kerberos |
CVE-2026-72982 | Windows Netlogon |
Kerberos, el Centro de distribución de claves y Netlogon admiten la autenticación en todos los dominios de Windows. Por lo tanto, los controladores de dominio y otros sistemas que admiten servicios de identidad deberían estar entre los primeros servidores que se evalúen y actualicen tras los dos zero-days explotados.
Acceso remoto y servicios de red
CVE-2026-69518 afecta a Windows Remote Desktop, mientras que CVE-2026-69590, CVE-2026-72950, CVE-2026-72959 y CVE-2026-69852 afectan a Windows Routing and Remote Access Service (RRAS).
Estos componentes pueden generar una exposición de alta prioridad cuando se puede acceder a ellos desde internet, están conectados a servicios VPN o son accesibles desde segmentos de red menos confiables. Los equipos de TI deben identificar dónde están habilitados los servicios afectados y colocar los sistemas accesibles externamente o críticos para la empresa al principio de la cola.
SQL Server y Exchange Server
Cuatro vulnerabilidades críticas de ejecución remota de código afectan a Microsoft SQL Server:
CVE-2026-67631
CVE-2026-67378
CVE-2026-67636
CVE-2026-67643
Los sistemas de bases de datos y mensajería suelen contener datos empresariales sensibles y pueden operar con acceso privilegiado a otros recursos. Revisa cuanto antes las implementaciones afectadas de SQL Server y Exchange Server, priorizando los sistemas con exposición externa, cargas de trabajo críticas o acceso a datos de alto valor.
Hyper-V, clústeres de conmutación por error e infraestructura de implementación
La versión de septiembre también incluye vulnerabilidades críticas de ejecución remota de código en la infraestructura que pueden afectar a múltiples cargas de trabajo o sistemas posteriores.
CVE | Componente afectado | Preocupación operativa |
CVE-2026-80083, CVE-2026-69603 | Windows Hyper-V | Un host vulnerable puede poner en riesgo varias cargas de trabajo invitadas. |
CVE-2026-78444, CVE-2026-73010 | Clúster de conmutación por error de Windows | Los sistemas en clúster suelen admitir servicios de producción de alta disponibilidad. |
CVE-2026-72954, CVE-2026-72957 | Servicios de implementación de Windows | La infraestructura de implementación puede influir en muchos endpoints que dependen de ella para la creación de imágenes o el aprovisionamiento. |
El momento de aplicar los parches debe tener en cuenta los requisitos de disponibilidad, pero la concentración de cargas de trabajo críticas en estos sistemas hace que retrasar la corrección sea arriesgado. Usa pruebas por fases y periodos de mantenimiento coordinados cuando una implementación inmediata pueda interrumpir los servicios de producción.
Aplicaciones de Microsoft 365 y Office
La versión incluye tres vulnerabilidades críticas de ejecución remota de código en Word, seis vulnerabilidades críticas de ejecución remota de código en Excel y cuatro vulnerabilidades críticas de ejecución remota de código en Outlook.
Las aplicaciones de Office siguen siendo importantes porque los archivos maliciosos y el contenido de los correos electrónicos pueden proporcionar una vía inicial de acceso a los entornos de los usuarios. Por lo general, estas actualizaciones deben aplicarse después de las vulnerabilidades explotadas y de la infraestructura expuesta, pero las organizaciones con un intercambio frecuente de documentos externos o con grupos de usuarios de mayor riesgo pueden necesitar acelerar la implementación.
Cómo priorizar los parches de septiembre de 2026
No hay un plazo fijo que se ajuste a todos los entornos. Usa los siguientes niveles como punto de partida y luego ajústalos en función de la exposición, los activos afectados, el impacto en el negocio, las mitigaciones disponibles y los requisitos de pruebas.
Aplica el parche en un plazo de 72 horas
Prioriza:
CVE-2026-85880 y CVE-2026-81963 porque Microsoft ha confirmado su explotación activa
Vulnerabilidades del Servidor DNS de Windows en sistemas integrados en dominios o accesibles externamente
Actualizaciones de Kerberos, Netlogon, Key Distribution Center y Active Directory Domain Services en la infraestructura de identidad
Vulnerabilidades de Windows Remote Desktop y RRAS en sistemas expuestos o accesibles de forma remota
Vulnerabilidades críticas de SQL Server y Exchange Server que afectan a cargas de trabajo sensibles o accesibles desde el exterior
Vulnerabilidades de Windows Deployment Services, Failover Cluster y Hyper-V en infraestructura crítica
Cualquier vulnerabilidad que posteriormente se marque como más propensa a la explotación o se añada al catálogo de vulnerabilidades explotadas conocidas de CISA
Mueve los sistemas expuestos a internet, los controladores de dominio, las puertas de enlace VPN, los servicios de acceso remoto y los sistemas que gestionan credenciales con privilegios o cargas de trabajo críticas al frente de este nivel.
Aplica el parche en un plazo de 1 a 2 semanas
Prioriza:
Vulnerabilidades de ejecución remota de código en Microsoft Word, Excel, PowerPoint, Outlook y SharePoint
Vulnerabilidades de medios, gráficos, códecs, WebP, procesamiento de imágenes y otras del lado del cliente
Windows Hello, Credential Guard y otras vulnerabilidades de elevación de privilegios relacionadas con la autenticación
Sistemas de virtualización y almacenamiento que no tienen exposición perimetral
Actualizaciones de Visual Studio, Visual Studio Code, PowerShell y .NET en endpoints de desarrolladores
La exposición y la función empresarial deberían seguir prevaleciendo sobre el plazo predeterminado. Por ejemplo, un grupo de usuarios de alto riesgo que recibe habitualmente documentos externos puede necesitar antes las actualizaciones de Office.
Ciclo regular de parches
Incluye:
Vulnerabilidades de menor gravedad en componentes con exposición limitada
Vulnerabilidades de acceso local únicamente en sistemas con controles estrictos
Problemas de periféricos y controladores de dispositivos en equipos con acceso físico restringido
Sistemas no expuestos a internet protegidos por controles compensatorios eficaces
La gravedad por sí sola no debe determinar el orden de aplicación de parches. La explotación confirmada, la vía de ataque, la exposición del sistema, los privilegios necesarios, la criticidad para el negocio y el posible efecto en otros sistemas ofrecen una base más útil para la priorización.
Actualizaciones destacadas de terceros
Microsoft vuelve a publicar 25 CVE que no son de Microsoft junto con la versión de este mes. Las organizaciones que gestionan Microsoft Edge según su ciclo de lanzamientos basado en Chromium deben confirmar por separado las actualizaciones relevantes del navegador.
Las actualizaciones del navegador, las herramientas para desarrolladores, las dependencias de código abierto y las aplicaciones de terceros deben seguir formando parte del mismo flujo de trabajo de gestión de vulnerabilidades que las actualizaciones del sistema operativo. Los procesos separados pueden crear puntos ciegos incluso cuando el parcheo de Windows está al día.
Por qué el Patch Tuesday de septiembre es importante para los equipos de TI
La versión de septiembre es más que un gran evento de aplicación de parches. Revela tres desafíos operativos que los equipos de TI deben abordar.
1. El volumen hace que la priorización manual no sea realista
Casi 1.000 CVE de Microsoft no pueden recibir todas el mismo nivel de urgencia. Los equipos de TI deben determinar qué activos están afectados, qué vulnerabilidades se están explotando y qué sistemas admiten identidad, acceso remoto, bases de datos, colaboración o cargas de trabajo críticas.
Esa evaluación depende de un inventario preciso de activos y software. Sin él, los equipos pueden dedicar tiempo a actualizaciones de menor riesgo mientras los sistemas expuestos siguen siendo vulnerables.
2. La infraestructura empresarial principal tiene una gran presencia
Las actualizaciones de septiembre llegan al mismo tiempo a los servicios de identidad, DNS, acceso remoto, bases de datos, mensajería, virtualización y sistemas operativos de endpoints. Esto crea prioridades superpuestas en servidores y dispositivos de usuario, con distintos requisitos de pruebas y mantenimiento para cada uno.
Una implementación por fases puede ayudar a los equipos a actuar con rapidez en los sistemas más expuestos mientras prueban actualizaciones más amplias antes de desplegarlas en toda la organización.
3. La verificación de los parches importa tanto como su implementación
Enviar una actualización no demuestra que todos los dispositivos estén protegidos. Es posible que los sistemas estén desconectados, que las instalaciones fallen o que los endpoints pierdan una ventana de implementación.
Los equipos de TI necesitan ver qué dispositivos siguen siendo vulnerables, qué parches se aplicaron correctamente, cuáles fallaron y qué sistemas requieren otro intento de despliegue o una corrección adicional.
Cómo Splashtop AEM puede ayudarte a priorizar e implementar parches
Una publicación de Patch Tuesday con 974 CVE de Microsoft plantea dos desafíos inmediatos: identificar lo que importa en tu entorno e implementar rápidamente las actualizaciones correctas. Splashtop AEM ayuda a los equipos de TI a gestionar ambas cosas desde una consola centralizada.
Descubre dónde está el riesgo: Splashtop AEM ofrece visibilidad centralizada de las vulnerabilidades, el estado de los parches, el inventario de hardware y software, y la salud de los endpoints. Los equipos de TI pueden usar ese contexto para identificar los dispositivos afectados y entender dónde se necesita una corrección urgente.
Prioriza las vulnerabilidades más importantes: los datos de CVE y la información a nivel de endpoint ayudan a los equipos a centrarse en las vulnerabilidades explotadas, el software de alto riesgo, los sistemas críticos y los dispositivos que respaldan funciones sensibles, como la identidad o el acceso remoto.
Implementa actualizaciones más rápido: Splashtop AEM admite aplicación de parches en tiempo real, políticas automatizadas de parches, implementación programada y despliegues por anillos. Los equipos pueden probar las actualizaciones con un grupo más pequeño de dispositivos, ampliar la implementación por etapas y supervisar el éxito o el fracaso sin perder visibilidad en todo el entorno.
Refuerza los flujos de trabajo de aplicación de parches existentes: Los equipos que todavía gestionan partes del proceso de parcheo manualmente pueden automatizar el trabajo repetitivo de implementación y verificación. Splashtop AEM puede mejorar Microsoft Intune añadiendo aplicación de parches en tiempo real, visibilidad de CVE y capacidades de corrección a su entorno existente. Las organizaciones que usan un RMM pueden usar Splashtop AEM para reforzar la visibilidad de los parches, la automatización y los flujos de trabajo de endpoints donde se necesiten capacidades adicionales.
Responde más rápido a las vulnerabilidades de alto riesgo con Splashtop AEM
El Patch Tuesday récord de septiembre muestra lo rápido que la gestión de parches se convierte en un problema de priorización y verificación. Los equipos de TI necesitan identificar los dispositivos expuestos, implementar actualizaciones urgentes y confirmar la corrección sin perder de vista los sistemas en entornos distribuidos.
Splashtop AEM reúne visibilidad de CVE, aplicación de parches en tiempo real, automatización, supervisión del estado de los parches e información sobre endpoints en una sola plataforma.
Comienza una prueba gratuita de Splashtop AEM para identificar endpoints vulnerables, priorizar las actualizaciones de alto riesgo e implementar parches más rápido.
