Microsoft publicó el 13 de octubre correcciones para 1.411 fallas y tres zero-days, uno ya explotado. Además, Windows 11 24H2 Home y Pro dejó de recibir parches.
El martes 13 de octubre de 2026 Microsoft publicó su Patch Tuesday, la actualización de seguridad mensual de Windows y sus demás productos. Según los datos oficiales de su guía de actualizaciones de seguridad, ese día corrigió 1.411 fallas (1.408 registradas por Microsoft y 3 por GitHub) y tres zero-days (vulnerabilidades conocidas antes de tener parche); 77 de las fallas registradas por Microsoft son críticas.
Por tipo, entre las registradas por Microsoft, la mayoría son de elevación de privilegios (674) y de ejecución remota de código (317), seguidas por divulgación de información (252), denegación de servicio (71), omisión de funciones de seguridad (40), manipulación (29) y suplantación (27).
El zero-day que ya se está explotando
La falla más urgente es CVE-2026-96951, en el Shell de Windows, con una calificación de 8,8. Permite saltarse la Marca de la Web, el aviso que Windows muestra cuando un archivo viene de internet. Para aprovecharla, el atacante necesita que la víctima abra un archivo manipulado que llega por correo o por mensajería instantánea, o desde una página maliciosa. Según el catálogo de vulnerabilidades explotadas de CISA, es la tercera falla del Shell de Windows atacada en lo que va del año.
Otras correcciones que no conviene aplazar
- Fallas de ejecución remota de código que se pueden aprovechar por la red, sin credenciales y sin que el usuario haga nada: 8 en el servidor DHCP, 4 en NPS y 1 en RD Gateway.
- Una falla crítica de elevación de privilegios en SharePoint, CVE-2026-102866 (8,1 sobre 10).
Los otros dos zero-days se divulgaron públicamente antes del parche, aunque no se reportan ataques: CVE-2026-108398, que permite a un atacante con acceso al equipo saltarse el control de aplicaciones de Windows Defender desde .NET Framework, y CVE-2026-92707, una denegación de servicio en la librería MessagePack-CSharp. Esta última va incluida dentro de las aplicaciones .NET como paquete NuGet, así que se corrige actualizando el paquete en cada aplicación, no con Windows Update.
Microsoft también estrenó 15 «cohortes de riesgo» experimentales, que agrupan fallas relacionadas para facilitar su priorización; Microsoft aclara que no son categorías oficiales de vulnerabilidades.
Windows 11 24H2 Home y Pro ya no recibe parches
Octubre fue la última actualización de seguridad para Windows 11 24H2 en sus ediciones Home y Pro, y para Windows 10 Enterprise LTSB 2016. Hay que pasar a una versión con soporte, como Windows 11 25H2 o la nueva 26H2. El 11 de noviembre terminan también las actualizaciones de Windows 11 23H2 Enterprise y Education.
Qué hacer en tu empresa
- Instala las actualizaciones acumulativas de octubre en todos los equipos y prioriza la corrección de CVE-2026-96951.
- Lleva los equipos con Windows 11 24H2 Home o Pro a la versión 25H2 desde Configuración > Windows Update.
- Actualiza los servidores con DHCP, RD Gateway o NPS, y SharePoint si lo tienes instalado en tus servidores.
- Pide a tu equipo de desarrollo revisar si sus aplicaciones .NET usan MessagePack-CSharp.
- Recuerda al personal no abrir adjuntos ni descargas inesperadas: el zero-day necesita que alguien abra el archivo.
Actualización del 31 de octubre: cifras oficiales de Microsoft
Revisamos esta noticia contra los datos oficiales de Microsoft y corregimos algunas cifras que habíamos tomado de medios: son 77 las fallas críticas registradas por Microsoft, no 70, y las fallas de ejecución remota sin interacción en DHCP, NPS y RD Gateway son 13, no 55. El total de 1.411 fallas sí coincide con los datos oficiales.
Cómo te ayudamos
Con nuestro soporte técnico con mantenimiento preventivo aplicamos las actualizaciones mensuales de forma controlada, y con la administración de tus servidores mantenemos al día los servicios críticos de la red.
Fuentes
- Microsoft: notas de las actualizaciones de seguridad de octubre de 2026 (13 de octubre de 2026)
- Microsoft: ficha de CVE-2026-96951 (13 de octubre de 2026)
- CISA: CVE-2026-96951 en el catálogo de vulnerabilidades explotadas (13 de octubre de 2026)
- Microsoft (MSRC): las cohortes de riesgo (13 de octubre de 2026)
- Microsoft: ciclo de vida de Windows 11 Home y Pro
Fuente: BleepingComputer
