El martes 13 de octubre de 2026 se lanzó la denominada Patch Tuesday que reunió 1.411 correcciones en productos de Microsoft, el número más alto registrado hasta la fecha. La cifra varía ligeramente según la fuente (1.409-1.415), pero el consenso ronda los 1.410 fallos. Entre ellos destacan 80 vulnerabilidades catalogadas como críticas y tres zero-day es decir, fallos ya explotados o divulgados antes de recibir parche.
Detalles de las vulnerabilidades críticas y los zero-day
Dos de los zero-day fueron anunciados públicamente antes del parche: CVE-2026-108398, que afecta al .NET Framework y permite eludir el control de aplicaciones de Windows Defender (WDAC); y CVE-2026-92707 en la librería MessagePack-CSharp, una denegación de servicio de moderada gravedad. El tercer zero-day CVE-2026-96951, ya está siendo aprovechado en ataques reales; compromete el Windows Shell y permite a un atacante evitar el marcador «Mark of the Web», el sello que activa SmartScreen y otras advertencias de seguridad.
Repercusiones de la vulnerabilidad del Shell
Con una puntuación CVSS de 8,8, la CVE-2026-96951 permite que archivos descargados o recibidos por correo electrónico se abran sin los avisos de seguridad habituales, facilitando la ejecución de código malicioso sin intervención del usuario. La CISA incluyó este fallo en su catálogo de vulnerabilidades explotadas (KEV) el mismo día del parche y estableció un plazo hasta el 16 de octubre para que las agencias federales aplicaran la solución.
Impacto en los usuarios y pasos de actualización
La entrega es la primera para Windows 11 26H2 y la última para las ediciones Home y Pro de Windows 11 24H2, cuyo soporte finaliza con este mes. Asimismo, Windows 11 24H2 y Windows 10 bajo el programa Extended Security Updates (ESU) reciben el parche acumulativo KB5127648 (para 24H2, 25H2 y 26H2) y KB5126657 respectivamente. Los usuarios deben abrir Configuración → Windows Update descargar e instalar la actualización y reiniciar el equipo; en entornos corporativos, es recomendable priorizar la corrección del Shell antes de desplegar el resto.
Además de los arreglos de seguridad, la actualización corrige problemas de File Explorer (mejora del panel de vista previa y preservación del estado de carpetas) y perfecciona la estabilidad de dispositivos Bluetooth. También se añadió la opción de remapear la tecla Copilot, permitiendo asignarle la función de Ctrl derecho o del menú contextual.
Para los responsables de infraestructura, la prioridad son las vulnerabilidades críticas que afectan a servicios de servidor como DHCP, Hyper-V, Exchange y Remote Desktop; el mayor número de fallos críticos se concentra en la suite Office (Excel, Outlook, PowerPoint, Word). Dado que la ventana entre el martes de parche y la posible aparición de un exploit puede ser corta, se recomienda aplicar primero los parches de los componentes expuestos a Internet y, en caso de utilizar la solución Ivanti Connect Secure, actualizar el VPN que también recibió un zero-day el 13 de octubre.
