Martes de parches de octubre de 2026: 1.413 CVE, 1 vulnerabilidad de día cero explotada

La publicación de Patch Tuesday de Microsoft de octubre de 2026 aborda 1.413 CVE de Microsoft, lo que establece un nuevo récord apenas un mes después del máximo anterior de 974 de septiembre. Eso supone aproximadamente un aumento intermensual del 45%. La publicación abarca Windows, las aplicaciones de Microsoft 365 y Office, SharePoint Server, SQL Server, Exchange Server, Azure, Defender y herramientas para desarrolladores. Microsoft también está volviendo a publicar un CVE que no es de Microsoft.

Una vulnerabilidad ya está siendo explotada activamente: CVE-2026-96951, una omisión de una función de seguridad en Windows Shell. Una segunda, CVE-2026-108398 en .NET Framework, se ha divulgado públicamente, por lo que ya hay detalles técnicos disponibles aunque Microsoft aún no ha observado ataques. Ambas tienen la calificación de Importante, lo que refuerza por qué el estado de explotación debe tener prioridad sobre las etiquetas de gravedad por sí solas.

Con más de 1.400 CVE de Microsoft por evaluar, los equipos de TI necesitan una implementación basada en el riesgo que empiece por las vulnerabilidades que los atacantes tienen más probabilidades de aprovechar y por los sistemas en los que una vulneración causaría más daños.

Desglose de parches de Microsoft de octubre de 2026

De los 1.408 CVE con calificaciones de gravedad, Microsoft clasificó 78 como Críticos, 1.329 como Importantes y 1 como Moderado. Los 1.408 requieren una acción del cliente en forma de una actualización para instalar.

La elevación de privilegios y la ejecución remota de código representan aproximadamente el 70 % de la publicación:

Los fallos de elevación de privilegios pueden convertir un acceso limitado en control total de un sistema, y los fallos de ejecución remota de código pueden proporcionar ese acceso inicial. Con casi 1.000 de estos dos tipos en una sola publicación, los equipos de TI necesitan saber qué sistemas afectados están expuestos y cuáles tienen acceso privilegiado.

Dónde se concentran las vulnerabilidades

Windows representa más de tres cuartas partes de los CVE de este mes. Office y SharePoint Server suman otros 170, y las herramientas de desarrollo representan 61 en 60 actualizaciones independientes.

Las cifras publicadas por Microsoft para esta versión difieren ligeramente: las notas de la versión indican 1.413 CVE, el desglose por familias de productos suma 1.414 y la lista de CVE publicada contiene 1.411. Esta publicación usa 1.413, la cifra que aparece en las notas de la versión de Microsoft.

Una vulnerabilidad de día cero explotada y una vulnerabilidad divulgada públicamente

Microsoft ha marcado dos CVE este mes con designaciones especiales de explotabilidad. Ambas son vulnerabilidades de omisión de funciones de seguridad clasificadas como importantes.

Las vulnerabilidades de omisión de funciones de seguridad rara vez completan un ataque por sí solas. Normalmente funcionan junto con otro fallo, como la ejecución remota de código o la elevación de privilegios, al eliminar una protección que, de otro modo, bloquearía o avisaría sobre el siguiente paso. Aplicar parches a estas vulnerabilidades cierra un paso que los atacantes quizá ya estén utilizando.

CVE-2026-96951 debería aplicarse primero en todos los endpoints Windows, independientemente de su calificación de Important. Si se elude Mark of the Web, un archivo malicioso enviado por correo electrónico o chat puede abrirse sin las advertencias que los usuarios normalmente ven. El usuario aún tiene que abrir el archivo, así que este fallo encaja de forma natural con el phishing y con las vulnerabilidades basadas en archivos que se tratan más adelante en esta publicación.

CVE-2026-108398 no ha sido explotada, pero como se divulgó públicamente, los detalles técnicos ya están disponibles. Eso aumenta las probabilidades de explotación. Un atacante necesita primero una cuenta en el sistema, así que esta actualización es especialmente importante para las organizaciones que dependen de Windows Defender Application Control o de listas de permitidos similares para contener a un intruso que ya se ha afianzado.

Ninguno de los CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA en el momento de la publicación. Las incorporaciones suelen llegar a los pocos días de una designación como esta, así que consulta el catálogo mientras planificas tu implementación.

Vulnerabilidades críticas que debes priorizar a continuación

Microsoft calificó 78 vulnerabilidades como críticas este mes. Sesenta y cinco son vulnerabilidades de ejecución remota de código, y las 13 restantes son de elevación de privilegios o suplantación de identidad. En lugar de tratarlas como un solo grupo, dales prioridad según la infraestructura afectada, lo expuesta que esté y lo que una vulneración pondría en riesgo.

Windows DHCP y servicios de red expuestos

Cinco vulnerabilidades críticas de ejecución remota de código afectan a Windows DHCP Server:

• CVE-2026-96934

• CVE-2026-88117

• CVE-2026-88120

• CVE-2026-88119

• CVE-2026-88171

El servidor DHCP suele ser accesible a través de los segmentos de la red interna, lo que lo convierte en un punto de apoyo frecuente para comprometer toda la red. La publicación también incluye una vulnerabilidad crítica de ejecución remota de código en el cliente DHCP (CVE-2026-70250).

Varios otros servicios expuestos a la red presentan este mes vulnerabilidades críticas de ejecución remota de código:

QUIC sustenta HTTP/3 y otros transportes de red, por lo que estos fallos son más importantes en las cargas de trabajo de Windows Server expuestas a internet. Remote Desktop Gateway se sitúa en el perímetro de muchas implementaciones de acceso remoto. Identifica dónde están habilitados estos servicios y mueve los sistemas accesibles externamente al principio de la cola.

Infraestructura de identidad y certificados

Las vulnerabilidades críticas también afectan a los servicios que controlan la autenticación, la federación y la inscripción de certificados:

Cada uno aparece solo una vez en la publicación, pero cada uno afecta a un objetivo de alto valor. Un controlador de dominio o un servicio de inscripción de certificados comprometido puede darle a un atacante alcance sobre todo el entorno. La suplantación de AD FS puede socavar la confianza en el inicio de sesión único federado de la que dependen muchas organizaciones. Los controladores de dominio, los servidores AD FS y los servidores NDES deberían estar entre los primeros servidores evaluados después del zero-day explotado.

Exchange Server e infraestructura de implementación

Exchange Server (CVE-2026-70571) y Windows Deployment Services (CVE-2026-88174) tienen, cada uno, una vulnerabilidad crítica de ejecución remota de código. SharePoint Server tiene una vulnerabilidad crítica de elevación de privilegios (CVE-2026-102866).

Exchange y SharePoint suelen alojar datos empresariales sensibles y conectarse a otros recursos internos. Deployment Services puede afectar a todos los endpoints que dependen de él para la creación de imágenes o el aprovisionamiento. Da prioridad a las implementaciones con exposición externa o acceso a datos de alto valor.

Hyper-V y enclave de VBS

Las actualizaciones de este mes incluyen ejecución de código a nivel de host en Hyper-V y fallos críticos de elevación de privilegios en Windows Virtualization-Based Security (VBS) Enclave y en componentes principales del kernel.

Los hosts de Hyper-V suelen admitir cargas de trabajo de producción con requisitos estrictos de disponibilidad. Usa pruebas por etapas y ventanas de mantenimiento coordinadas cuando una implementación inmediata pueda interrumpir los servicios, pero no dejes que esas ventanas retrasen durante mucho tiempo los parches a nivel de host.

Microsoft 365 y aplicaciones de Office

Las aplicaciones de Office representan 34 de las vulnerabilidades críticas de ejecución remota de código de este mes:

Excel destaca, con una concentración inusualmente alta de fallos críticos en una sola aplicación. Los documentos maliciosos siguen siendo una de las vías más comunes, impulsadas por el phishing, para entrar en los entornos de los usuarios. Ese riesgo es mayor este mes porque la omisión de Mark of the Web que se está explotando puede eliminar las advertencias que los usuarios normalmente verían en los archivos descargados. Visio suele tener una prioridad menor en las listas de parches que Word, Excel u Outlook, pero conlleva el mismo riesgo basado en documentos.

Controladores multimedia, gráficos y de impresora

Diez vulnerabilidades críticas de ejecución remota de código afectan a componentes de contenido multimedia, gráficos y representación de documentos, incluidos Media Foundation, GDI+, Codecs, Windows PDF, Text Shaping y Raw Image Extension (CVE-2026-96202 y CVE-2026-96943). Estas pueden activarse al abrir una imagen, un vídeo, una fuente o un PDF manipulado, sin macros ni scripting.

El controlador de impresora PostScript también tiene tres vulnerabilidades críticas de ejecución remota de código: CVE-2026-70153, CVE-2026-70147 y CVE-2026-108467. Los controladores de impresora están ampliamente implementados y es fácil pasarlos por alto en los ciclos de parches, así que confirma que estén cubiertos por el mismo despliegue que el resto de la publicación.

Cómo priorizar los parches de octubre de 2026

No existe un plazo fijo que se ajuste a todos los entornos. Usa estos niveles como punto de partida y luego ajústalos según la exposición, el impacto en el negocio y los requisitos de prueba.

Aplica el parche en un plazo de 72 horas

• CVE-2026-96951 (shell de Windows) en todos los endpoints Windows, seguido de CVE-2026-108398 (.NET Framework)

• Servidor DHCP de Windows y cliente DHCP

• Puerta de enlace de escritorio remoto, NDES y Servicios de dominio de Active Directory

• Microsoft QUIC en cargas de trabajo de Windows Server expuestas a internet

• Exchange Server y SQL Server, empezando por los sistemas accesibles desde el exterior o los sistemas que almacenan datos sensibles

• Hosts de Hyper-V

• Cualquier CVE añadido posteriormente al catálogo KEV de CISA o marcado como Exploitation More Likely

Aplica el parche en un plazo de 1 a 2 semanas

• Aplicaciones de Office, empezando por Excel, luego Outlook, PowerPoint, Word y Visio

• Vulnerabilidades de elevación de privilegios del kernel y de VBS Enclave

• Componentes de medios, gráficos y procesamiento de documentos, además del controlador de impresora PostScript

• Visual Studio, Visual Studio Code y .NET en estaciones de trabajo de desarrolladores

• Vulnerabilidades de elevación de privilegios en Azure y Entra

La exposición debería seguir prevaleciendo sobre el plazo predeterminado. Los usuarios que abren habitualmente documentos externos pueden necesitar actualizaciones de Office antes.

Ciclo regular de parches

• Vulnerabilidades de escalada de privilegios y divulgación de información con calificación de Importante en componentes con exposición limitada

• Problemas de acceso solo local y de controladores de dispositivo en sistemas con acceso físico restringido

• Sistemas no expuestos a internet con controles compensatorios implementados

Actualizaciones destacadas de terceros

Microsoft vuelve a publicar solo un CVE no perteneciente a Microsoft este mes, frente a los 25 de septiembre: CVE-2026-21413, una vulnerabilidad de ejecución remota de código de Raw Image Extension atribuida a Cisco Talos. Afecta al mismo componente que los dos fallos críticos de Raw Image Extension propiedad de Microsoft mencionados anteriormente (CVE-2026-96202 y CVE-2026-96943), por lo que los tres pueden abordarse como una única tarea de corrección.

Microsoft Edge no incluyó nuevos CVE en esta versión. Aun así, los equipos deben confirmar las actualizaciones del navegador, las herramientas de desarrollo y las aplicaciones de terceros según sus propios calendarios y mantenerlas dentro del mismo flujo de trabajo de gestión de vulnerabilidades que las actualizaciones del sistema operativo. Los procesos separados pueden dejar puntos ciegos incluso cuando el parcheo de Windows está al día.

Por qué el Patch Tuesday de octubre es importante para los equipos de TI

La versión de octubre plantea dos problemas operativos que van más allá de cualquier CVE individual.

1. El volumen récord hace que el triaje manual no sea realista

Esta es la segunda publicación consecutiva que bate récords, y el salto de 974 a 1.413 CVE en un mes deja poco margen para la revisión manual. Los equipos necesitan saber rápidamente qué dispositivos ejecutan el software afectado, qué vulnerabilidades se están explotando y qué sistemas admiten identidad, acceso remoto o cargas de trabajo críticas. Eso depende de un inventario preciso de hardware y software.

Microsoft también está respondiendo al volumen. Con esta versión, introdujo cohortes de riesgo, una forma experimental de agrupar CVE relacionados en torno a preguntas de exposición compartidas, como qué sistemas procesan archivos no confiables. Microsoft señala que las cohortes no clasifican el peligro, por lo que el estado de explotación y la exposición deben seguir marcando el orden del trabajo.

2. Algunos sistemas acaban de recibir su última actualización de seguridad

La actualización de octubre es la última actualización de seguridad para Windows 11 versión 24H2 Home y Pro y para Windows 10 Enterprise LTSB 2016. Windows 11 versión 23H2 Enterprise, Education e IoT Enterprise llegan al final de las actualizaciones en noviembre. Los dispositivos que ejecutan estas ediciones dejan de recibir correcciones después de su fecha de finalización, sin importar con qué rapidez aplique parches el equipo. Identifícalos ahora y planifica las actualizaciones, porque la corrección del día cero de este mes puede ser la última protección que reciban.

Cómo Splashtop AEM puede ayudarte a priorizar e implementar parches

Una publicación de 1.413 CVE con un día cero explotado plantea dos tareas para los equipos de TI: encontrar lo que importa en su entorno e implementar rápidamente las actualizaciones correctas. Splashtop AEM (gestión autónoma de endpoints) se encarga de ambas desde una consola centralizada.

• Encuentra dispositivos expuestos: Splashtop AEM escanea continuamente endpoints Windows y macOS en busca de CVE, incluidas vulnerabilidades del catálogo Known Exploited Vulnerabilities de CISA, junto con el estado de los parches y el inventario de hardware y software.

• Prioriza lo que están usando los atacantes: Los resúmenes de CVE impulsados por IA y las señales de riesgo ayudan a los equipos a situar vulnerabilidades como CVE-2026-96951 por delante del resto de la versión.

• Implementa y verifica más rápido: El parcheo en tiempo real del SO y de aplicaciones de terceros, las políticas automatizadas, las ventanas de mantenimiento y los anillos de actualización permiten a los equipos probar primero las actualizaciones de Office o del servidor en un grupo más pequeño de dispositivos. Luego, los equipos pueden ampliar la implementación y hacer un seguimiento de qué instalaciones se realizaron correctamente o fallaron.

• Refuerza los flujos de trabajo existentes: Splashtop AEM puede mejorar Microsoft Intune añadiendo aplicación de parches en tiempo real, visibilidad de CVE y remediación. Los equipos que usan un RMM pueden utilizarlo para cubrir carencias en la visibilidad de parches y la automatización.

Anticípate al volumen récord de Patch Tuesday con Splashtop AEM

La publicación de octubre muestra lo rápido que la gestión de parches se convierte en un problema de triaje. Con 1.413 CVE y una vulnerabilidad de día cero explotada en juego, los equipos de TI necesitan encontrar los dispositivos expuestos, implementar primero las actualizaciones más urgentes y confirmar que todos los endpoints estén cubiertos.

Comienza una prueba gratuita de Splashtop AEM para ver qué endpoints son vulnerables, priorizar las actualizaciones de alto riesgo e implementar parches más rápido.