El 13 de octubre de 2026 Microsoft publicó un paquete de actualizaciones de seguridad Patch Tuesday récord por su volumen. El número exacto de vulnerabilidades corregidas varía según las fuentes: según Tenable, se trata de 1407 CVE, mientras que en otras publicaciones se mencionan 1413. Independientemente de la cifra exacta, se trata de una escala sin precedentes: según Tenable, en 2026 Microsoft ya ha cerrado más de 4000 CVE. Entre las vulnerabilidades corregidas destaca CVE-2026-96951, una vulnerabilidad de inyección de comandos en Windows Shell con una puntuación CVSS de 8.8, que ya se está explotando en ataques reales y ha sido incluida en el catálogo CISA KEV con fecha límite de corrección para las agencias federales fijada en el 16 de octubre de 2026. Todas las organizaciones que utilizan Windows deben instalar las actualizaciones con carácter prioritario.
CVE-2026-96951: vulnerabilidad explotada en Windows Shell
La vulnerabilidad CVE-2026-96951 es una inyección de comandos (CWE-77) en el componente Windows Shell con una puntuación CVSS de 8.8. Según el registro CVE, la vulnerabilidad permite que un atacante no autorizado eluda mecanismos de protección a través de la red. Una explotación exitosa permite sortear la protección Mark of the Web (MOTW), un mecanismo que marca los archivos descargados de internet y advierte al usuario antes de abrirlos.
La explotación requiere interacción del usuario: el atacante debe convencer a la víctima de seguir un enlace o abrir un archivo adjunto malicioso recibido por correo electrónico o a través de un mensajero. No es posible forzar la explotación sin acciones por parte del usuario.
Microsoft confirma que la vulnerabilidad se explotó antes de la publicación del parche. Sin embargo, ni Microsoft ni CISA han revelado los detalles de los ataques: quién está detrás de la explotación, qué organizaciones fueron objetivo ni qué indicadores de compromiso están asociados a la campaña. Microsoft atribuye el descubrimiento de la vulnerabilidad a investigadores de Fujitsu y Anthropic, así como a un investigador independiente, aunque no se han encontrado confirmaciones independientes de esta atribución.
CVE-2026-108398: bypass de WDAC a través de .NET Framework
La segunda vulnerabilidad más relevante, CVE-2026-108398 (CVSS 8.8), afecta a .NET Framework y fue revelada públicamente antes de la salida del parche. Según Tenable y Rapid7, la vulnerabilidad permite que un atacante con acceso local ya existente registre un ensamblado .NET malicioso para que sea cargado por un proceso protegido, eludiendo así las restricciones de Windows Defender Application Control (WDAC). No se requiere interacción del usuario.
Esto hace que CVE-2026-108398 sea especialmente peligrosa como técnica de post-explotación: un atacante que ya se haya afianzado en el sistema puede utilizarla para eludir las políticas de control de aplicaciones, ejecutar código no autorizado y debilitar la protección de los endpoints. La actualización de .NET Framework del 13 de octubre de 2026 corrige esta vulnerabilidad. El descubrimiento se atribuye a James Forshaw de Google Project Zero.
Aclaración importante: en varias publicaciones, los identificadores CVE-2026-108398 y CVE-2026-92707 están intercambiados: los enlaces a MSRC llevan a la descripción de otra vulnerabilidad. Fuentes independientes —Tenable, Rapid7 y GitHub Advisory— confirman que CVE-2026-108398 se refiere a .NET Framework, y CVE-2026-92707 a MessagePack-CSharp.
CVE-2026-92707: denegación de servicio en MessagePack-CSharp
La vulnerabilidad CVE-2026-92707 (CVSS 5.3, CWE-1325) afecta a la biblioteca MessagePack-CSharp y permite provocar una denegación de servicio mediante una asignación secuencial de memoria fuera de control durante la deserialización de datos controlados por el atacante. Según el aviso de seguridad oficial del proyecto, son vulnerables las versiones anteriores a la 2.5.303 y las versiones desde la 3.0 hasta antes de la 3.1.9 (sin incluirla). Las versiones corregidas son la 2.5.303 y la 3.1.9. La vulnerabilidad se reveló públicamente antes de la salida del parche.
CVE-2026-21413: desbordamiento de búfer crítico
Merece una atención especial CVE-2026-21413 (CVSS 9.8), un desbordamiento de búfer en el montón (heap) que puede provocar ejecución remota de código. La explotación puede desencadenarse al generar una miniatura o una vista previa de una imagen RAW especialmente manipulada: el usuario ni siquiera tiene que abrir el archivo. Sin embargo, existe una discrepancia en la atribución: el material original indica como componente afectado Raw Image Extension, mientras que el registro de NVD identifica el producto afectado como LibRaw y señala a Talos como CNA. Hasta que se resuelva esta contradicción, se recomienda comprobar la disponibilidad de actualizaciones para ambos componentes.
Alcance del lanzamiento y nuevo enfoque de priorización
Según Tenable, el lanzamiento de octubre incluye unas 69 vulnerabilidades críticas y más de 1300 importantes, que afectan a 301 productos y componentes. La mayor parte de las vulnerabilidades está relacionada con la escalada de privilegios y la ejecución remota de código. Este volumen continúa la tendencia: el mes pasado Microsoft cerró alrededor de 1000 vulnerabilidades.
Junto con las actualizaciones, Microsoft presentó el concepto de «cohortes de riesgo» (risk cohorts): agrupaciones de CVE que requieren una evaluación similar por parte del cliente. Microsoft subraya que las cohortes son un punto de partida y no un sustituto del análisis individual de cada CVE según los criterios de explotación, vector de ataque e interacción con el usuario. Anteriormente ya habíamos escrito sobre los problemas de clasificación de vulnerabilidades de Microsoft; la nueva herramienta pretende resolver parcialmente la tarea de priorización con volúmenes de este tipo.
Recomendaciones de priorización
- CVE-2026-96951: instalación inmediata del parche. La vulnerabilidad se está explotando, está incluida en CISA KEV y la fecha límite para las agencias federales es el 16 de octubre de 2026. Afecta a todos los sistemas Windows con el componente Windows Shell.
- CVE-2026-108398: prioridad para las organizaciones que utilizan WDAC y .NET Framework. Es especialmente crítica en entornos donde existe riesgo de compromiso con acceso local.
- CVE-2026-21413: prioridad para los sistemas que procesan imágenes RAW. La puntuación CVSS de 9.8 y la posibilidad de explotación sin abrir el archivo hacen que esta vulnerabilidad sea extremadamente peligrosa.
- CVE-2026-92707: actualización de MessagePack-CSharp a la versión 2.5.303 o 3.1.9 para las aplicaciones que utilizan esta biblioteca.
El Patch Tuesday de octubre establece un nuevo listón en cuanto al volumen de correcciones, pero la cuestión clave no es el número de CVE, sino la rapidez de respuesta ante las amenazas confirmadas. La primera prioridad es CVE-2026-96951: el parche debe instalarse antes del 16 de octubre, ya que la explotación está en curso. Para CVE-2026-108398 es fundamental evaluar si WDAC está desplegado en su infraestructura; si es así, la actualización de .NET Framework es igual de urgente. A las organizaciones que trabajan con grandes volúmenes de actualizaciones les conviene prestar atención al concepto de cohortes de riesgo de Microsoft como herramienta adicional de clasificación, pero no como sustituto de su propia evaluación de la explotabilidad de cada vulnerabilidad.
