🛡 VULNERABILIDADES 🛡

Vulnerabilidades Zero-Day acechan en el extenso Patch Tuesday de octubre de Microsoft

⏰14 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Vulnerabilidades Zero-Day acechan en el extenso Patch Tuesday de octubre de Microsoft

⟫ 13/10/2026 ⟫ Tara Seals

Fuente: Dark Reading

A medida que avanzamos hacia lo que se ha denominado la "era de la vulnopocalipsis" impulsada por la inteligencia artificial, la actual actualización de seguridad de Microsoft, correspondiente al Patch Tuesday de octubre de 2026, ha superado de manera sobresaliente el récord del mes anterior en cuanto a la cantidad de vulnerabilidades abordadas, revelando un total de 1,413 CVEs (Common Vulnerabilities and Exposures) de Microsoft. De estas, 80 son consideradas críticas y se han reportado dos vulnerabilidades de día cero, una de las cuales está siendo activamente explotada. En comparación, la actualización de septiembre había incluido 974 CVEs, una cifra que ya parecía alarmante.

Sin embargo, los expertos en seguridad instan a que los equipos no se dejen llevar por la magnitud de la actualización, sino que se concentren en los riesgos explotables y en establecer procesos, herramientas y personas adecuadas para poder mitigar dicha exposición. Tyler Reguly, director asociado de I+D en seguridad de Fortra, ha manifestado en comentarios públicos por correo electrónico: "Recientemente he argumentado que los números son irrelevantes. La cifra de este mes, 1,413, no es diferente. Sin embargo, hay números que tienen significado. Veintiséis, por ejemplo, es la cantidad de CVEs de Microsoft de 2026 que han aparecido en el catálogo de Vulnerabilidades Conocidas y Explotadas de CISA. El año pasado, esa cifra fue 30, y el anterior fue 32. Esto significa que menos del 1% de las vulnerabilidades parcheadas por Microsoft este año se sabe que están siendo explotadas".

En cuanto a las vulnerabilidades específicas que se encuentran en esta impresionante cosecha de errores de octubre, Windows ha acaparado la mayor parte de los fallos de seguridad listados, contabilizando exactamente 1,102. A continuación se encuentran 134 para Office, 61 en Herramientas de Desarrollo (Dev Div), 36 para SharePoint Server, 22 para SQL Server, siete para Exchange Server, 15 en Azure y cuatro en Defender. Treinta y dos vulnerabilidades se catalogan en diversas categorías "otras". Además, Microsoft volvió a publicar un error de Cisco Talos, el CVE-2026-21413, que se clasifica como una vulnerabilidad de ejecución remota de código (RCE) en extensiones de imagen en bruto.

Ambas vulnerabilidades de día cero representan serios riesgos de elusión de la seguridad. El CVE-2026-96951, con un puntaje CVSS de 8.8, es la que se encuentra bajo explotación activa y se ha identificado en Windows Shell. La otra, el CVE-2026-108398, se encuentra en la seguridad del .NET Framework. La vulnerabilidad explotada, descubierta por Claude AI de Anthropic, ataca la etiqueta Mark of the Web (MOTW) que Windows aplica a los archivos descargados de Internet, la cual clasifica el nivel de riesgo asociado a esos archivos. Según explicaron los investigadores de Automox, esto permite a un atacante crear archivos que se envían a los usuarios de tal manera que eluden el MoTW — y las verificaciones de seguridad posteriores que dependen de ello, incluyendo SmartScreen, Vista Protegida de Office, el bloqueo de macros en Office, Smart App Control en Windows 11 y el aviso del Administrador de Archivos Adjuntos.

"MOTW es como la etiqueta en un paquete en la que todos los guardias del edificio revisan la etiqueta, no el paquete en sí", explicaron los investigadores en su publicación de blog sobre la actualización de octubre. "Este bug entrega el paquete sin la etiqueta. El resultado es un archivo que se abre como si el usuario lo hubiera creado localmente. Sin advertencias, sin vista de solo lectura, sin bloqueo de macros. Un solo bug desactiva varios controles a la vez".

Por su parte, el CVE-2026-108398 (CVSS 8.8) es menos preocupante; requiere acceso local y una cuenta de bajo privilegio, y Microsoft lo evalúa como "menos probable de ser explotado". "El fallo es un problema de verificación de firma criptográfica no confiable en .NET Framework", según Automox. "Un atacante coloca un ensamblaje de .NET manipulado en el punto final y lo registra para que se cargue en un proceso protegido, luego ejecuta código dentro de ese proceso sin activar el Control de Aplicaciones de Windows Defender (WDAC)".

Mike Walters, presidente y cofundador de Action1, afirmó que esta vulnerabilidad es particularmente peligrosa como técnica de ataque post-compromiso. "Una explotación exitosa podría comprometer la integridad del sistema, exponer información empresarial sensible, debilitar las defensas de los puntos finales y interrumpir operaciones críticas", explicó en el blog de Action1 sobre la actualización. "Aunque la explotación activa sigue sin confirmarse y la madurez del código de explotación no está probada, la divulgación pública... aumenta la urgencia. Sin una solución oficial disponible, prioriza la implementación de las actualizaciones de seguridad aplicables de Microsoft en los puntos finales y servidores de Windows afectados, especialmente en entornos protegidos por WDAC, y monitorea los sistemas no parcheados en busca de carga de ensamblajes sospechosos y ejecución no autorizada".

Una vulnerabilidad que los investigadores de Automox también señalaron como crítica es la RCE en el Panel de Lectura de Outlook, identificada como CVE-2026-70242 (CVSS 9.8). Los atacantes pueden crear un correo electrónico que desencadene un desbordamiento de búfer basado en la pila cuando Outlook lo muestre en el Panel de Lectura; no es necesario abrir el mensaje, autenticarse ni interactuar de ninguna manera para que se produzca la explotación. "Los errores en el panel de vista previa surgen cada pocos años y llaman la atención porque el correo electrónico es la puerta principal", advirtieron los investigadores. "Las direcciones son fáciles de encontrar en filtraciones de datos y en los sitios web de las empresas, por lo que el costo de dirigir un ataque es prácticamente nulo".

Dustin Childs, jefe de concienciación sobre amenazas para la Iniciativa de Día Cero (ZDI) en TrendAI, advirtió a los equipos de seguridad sobre el CVE-2026-102866 (CVSS 8.1), una vulnerabilidad de elevación de privilegios en Microsoft Office SharePoint. "Es un error en la verificación inapropiada de firmas criptográficas", comentó Childs en su revisión mensual de parches. "Un atacante que obtenga un token de prueba válido para un usuario específico podría modificarlo, enviarlo al servidor y autenticarse como ese usuario. La única salvedad es que el atacante debe obtener primero ese token, pero hay múltiples métodos para lograrlo".

También mencionó el CVE-2026-65674 (CVSS 8.8), que es una vulnerabilidad de ejecución remota de código en Microsoft SQL Server, como teniendo "la mejor calificación de explotabilidad de cualquier bug de SQL Server este mes. Se trata de una deserialización de datos no confiables. Un atacante autenticado se conecta a un SQL Server afectado y envía una solicitud especialmente diseñada para ejecutar código en el servidor. No se requiere interacción del usuario. Definitivamente, asegúrate de verificar esto en cualquier SQL Server directamente conectado a Internet".

Otro bug preocupante que merece ser priorizado es una vulnerabilidad de desbordamiento de búfer basado en la pila en Microsoft QUIC, identificada como CVE-2026-105016 (CVSS 9.8). Esta podría permitir a un atacante no autenticado ejecutar código malicioso en los sistemas afectados a través de una red y afecta a múltiples productos de Microsoft, incluidos Windows 11, Windows Server, .NET y Visual Studio.

Un atacante podría aprovechar esta vulnerabilidad enviando un paquete de red especialmente diseñado a un servicio afectado, lo que podría permitirle tomar control del sistema objetivo sin necesidad de autenticación o interacción por parte del usuario. Esta advertencia proviene de Jack Bicer, director de investigación de vulnerabilidades en Action1, quien destacó en el blog corporativo que una explotación exitosa de esta debilidad podría permitir a los atacantes ejecutar código malicioso y controlar los servicios comprometidos. Las implicaciones de esto son graves: se expone o altera información sensible tanto de empresas como de clientes, se interrumpen las operaciones y se generan costos de recuperación para las organizaciones, además de dañar la confianza del cliente.

Más allá de estas vulnerabilidades específicas, los expertos de Nightwing ofrecieron pautas generales para enfrentar la compleja situación que representa la actualización de octubre de Microsoft, conocida como Patch Tuesday. Es crucial que las organizaciones no esperen a las ventanas de mantenimiento programadas para aplicar parches. En particular, debe actualizarse Exchange, .NET y Windows 11 de inmediato. Se recomienda aplicar la actualización de Exchange del 2 de octubre para la vulnerabilidad CVE‑2026‑96940 en todos los servidores locales e híbridos, así como verificar que los entornos de .NET Framework reciban las actualizaciones actuales que abordan vulnerabilidades de ejecución remota de código (RCE) y realizar los reinicios necesarios. Además, es importante iniciar la migración y probar los caminos de VPN, VDI, almacenamiento y Secure Boot para Windows 11 24H2 Home/Pro, ya que se están alejando de su última actualización de seguridad.

En relación con Exchange Server, se han publicado cuatro actualizaciones de seguridad (KB5129955/56/57/58) que abordan una única vulnerabilidad de alta gravedad, cada una con un puntaje CVSS de 8.8 en las versiones de Exchange 2016, 2019 y Subscription Edition. Dada la historia de Exchange como un objetivo de alto valor, es fundamental tratar estas actualizaciones como casi críticas, priorizando la rápida prueba, implementación y verificación en todos los servidores expuestos.

Por otro lado, las actualizaciones acumulativas KB5127648 y KB5126653 avanzan las versiones de Windows 11 24H2, 25H2, 26H2 y 23H2 a trenes de compilación alineados, manteniendo esencialmente el mismo contenido de seguridad a través de las distintas ramas. Estas actualizaciones deben ser consideradas como bases de seguridad obligatorias en lugar de olas de características opcionales, y es crucial que los informes de cumplimiento de parches sigan el número de compilación, no solo la presencia de KB.

El aumento significativo en el número de parches publicados por Microsoft en Patch Tuesday refleja una tendencia más amplia de revelaciones de CVEs que están aumentando de manera pronunciada. Según un análisis de Echo, el volumen de divulgaciones ha crecido en un 145% en dos años, pasando de 3,173 en junio de 2024 a 7,765 en junio de 2026. Este incremento se debe en parte a la expansión de los programas de CVE, pero también a la creciente utilización de la inteligencia artificial (IA) en el descubrimiento de vulnerabilidades. Anualmente, las divulgaciones de CVEs se dispararon de 30,949 en 2023 a 49,979 en 2025, y según los números actuales, 2026 claramente está en camino de superar esta cifra.

La pregunta que surge es cómo deben los equipos de seguridad gestionar esta carga de trabajo en aumento. "¿Es la IA la culpable? En parte", afirma Childs de ZDI. "Está acelerando la caza de errores en ambos lados, por lo que los proveedores están encontrando (y corrigiendo) más fallos, y los investigadores también los están descubriendo más rápidamente. Sin embargo, la IA no está creando estos errores de la nada. Simplemente está acortando el tiempo entre la existencia de una vulnerabilidad y el momento en que alguien la detecta."

Como sugirió Reguly de Fortra, Childs enfatiza que los equipos de seguridad simplemente necesitan adaptarse. "Lo que importa es que el descubrimiento está escalando más rápido que la explotación, así que los equipos que priorizan por simple cantidad de CVEs en lugar de por su explotabilidad están desperdiciando recursos en fallos que no son críticos", indica. "Parchen lo que esté demostrado, priorizado y público, y traten todo lo demás como la nueva normalidad de este mes."

◢ VULNERABILIDADES ◣

Zero-Days Lurk in Microsoft's Overgrown October Patch Tuesday

⟫ 13/10/2026 ⟫ Tara Seals

Source: Dark Reading

As we progress further into the AI-driven "vulnpocalypse era," Microsoft’s October 2026 Patch Tuesday security update blows past last month’s record for the number of vulnerabilities addressed, disclosing 1,413 Microsoft CVEs. Among these are 80 critical flaws and two zero-day bugs, one under active exploitation. In comparison,September's update included 974 CVEs, which seemed staggering enough. And yet, security experts are urging teams to ignore the size of the update, and instead focus in onexploitable risk, and getting processes, tools, and people into place to be able toreduce that risk. "Recently, I've argued that numbers are meaningless," said Tyler Reguly, associate director for security R&D at Fortra, in public emailed comments. "This month's number, 1,413, is no different. There are, however, numbers that hold meaning. Twenty-six, for example, is how many 2026 Microsoft CVEs have shown up in the CISA Known Exploited Vulnerabilities catalog. Last year, that number was 30, and the year before was 32. That means less than 1% of vulnerabilities patched by Microsoft this year are known to be exploited." In terms of what's lurking inside this month's bumper crop of bugs, Windows harvested the lion's share of the security flaws listed — accounting for 1,102 of them, to be exact. That's followed by 134 for Office, 61 in Developer Tools (Dev Div), 36 for SharePoint Server, 22 for SQL Server, seven for Exchange Server, 15 in Azure, and four in Defender. Thirty-two are found in various "other" categories. Microsoft also republished a Cisco Talos bug, CVE-2026-21413, which is listed as a raw image extension remote code execution (RCE) vulnerability. Both of the zero-days are potentially scary security bypasses.CVE-2026-96951(CVSS 8.8) is the one under active exploit, found in Windows Shell. The other isCVE-2026-108398, found in .NET Framework Security. The exploited bug, uncovered by Anthropic's Claude AI, targets the Mark of the Web (MOTW) tag that Windows applies to files downloaded from the Internet; it classifies how dangerous those files might be. As Automox researchers explained, it allows an attacker to craft files sent to users in such a way that bypasses MoTW — and the downstream security checks that rely on it, including SmartScreen, Office Protected View, the Office block on macros, Smart App Control on Windows 11, and the Attachment Manager prompt. "MOTW is like the sticker on a package in that every guard in the building checks the sticker, not the package [itself]," the researchers explained in theirblog poston the October update. "This bug delivers the package without [a sticker]. The result is a file that opens as though the user created it locally. No warning dialog, no read-only view, no macro block. One bug turns off several controls at once." CVE-2026-108398 (CVSS 8.8), meanwhile, is less concerning; it needs local access and a low-privilege account, and Microsoft assesses it "exploitation less likely." "The flaw is an untrusted search path in .NET Framework," according to Automox. "An attacker places a crafted .NET assembly on the endpoint and registers it to load in a protected process, then runs code inside that process without tripping Windows Defender Application Control (WDAC)." Mike Walters, president and co-founder of Action1, said the vulnerability is particularly dangerous as a post-compromise attack technique. "Successful exploitation could compromise system integrity, expose sensitive business information, weaken endpoint defenses, and disrupt critical operations," he explained in Action1's blog on the update. "Although active exploitation remains unconfirmed and exploit code maturity is unproven, public disclosure … increases urgency. With no official workaround available, prioritize deployment of Microsoft's applicable security updates across affected Windows endpoints and servers, especially WDAC-protected environments, and monitor unpatched systems for suspicious assembly loading and unauthorized execution." One vulnerability that Automox researchers also flagged is a critical Reading PaneRCEin Outlook, tracked asCVE-2026-70242(CVSS 9.8). Attackers can craft an email that triggers a heap-based buffer overflow when Outlook shows it in the Reading Pane; there's no need to open the message, authenticate, or interact in any way for exploitation to occur. "Preview-pane bugs surface every few years, and they draw attention because email is the front door," the researchers warned. "Addresses are easy to find in breach dumps and on company websites, so targeting costs an attacker almost nothing." Dustin Childs, head of threat awareness for the Zero Day Initiative (ZDI) at TrendAI, warned security teams aboutCVE-2026-102866(CVSS 8.1), a Microsoft Office SharePoint elevation of privilege vulnerability. "It’s an improper cryptographic signature verification bug," Childs said in hismonthly patch review. "An attacker who obtains a valid proof token for a targeted user could modify it, submit it to the server, and authenticate as that user. The only caveat is that the attacker has to obtain that token first, but there are multiple methods this could be achieved." He also notedCVE-2026-65674(CVSS 8.8), which is a Microsoft SQL Server RCE bug, as having "the best exploitability rating of any SQL Server bug this month. It’s a deserialization of untrusted data. An authenticated attacker connects to an affected SQL Server and sends a specially crafted request to run code on the server. No user interaction is needed. Definitely check this on any SQL Server directly connected to the Internet." Another concerning bug that's ripe for prioritization is a heap-based buffer overflow RCE flaw in Microsoft QUIC, tracked asCVE-2026-105016(CVSS score 9.8). It could allow an unauthenticated attacker to execute malicious code on affected systems over a network, and affects multiple Microsoft products, including Windows 11, Windows Server, .NET, and Visual Studio. "An attacker could exploit this weakness by sending a specially crafted network packet to an affected service, potentially gaining control of the targeted system without requiring authentication or user interaction," Jack Bicer, director of vulnerability research at Action1, said in the company's blog. "Successful exploitation could let attackers run malicious code and take control of affected services, exposing or altering sensitive business and customer data, disrupting operations, and leaving organizations with recovery costs and damaged customer trust." In addition to these specific vulnerabilities, Nightwing experts provided some general guidance for dealing with the monster that is Microsoft's October Patch Tuesday update: "Microsoft: Patch Exchange, .NET, and Windows 11 without waiting for routine maintenance windows. Apply the October 2 Exchange update for CVE‑2026‑96940 on all on‑prem and hybrid servers, verify .NET Framework runtimes receive the current RCE‑bearing fixes and reboots, and move Windows 11 24H2 Home/Pro off their final security update by starting migrations and testing VPN, VDI, storage, and Secure Boot paths now." "Microsoft: Patch Exchange, .NET, and Windows 11 without waiting for routine maintenance windows. Apply the October 2 Exchange update for CVE‑2026‑96940 on all on‑prem and hybrid servers, verify .NET Framework runtimes receive the current RCE‑bearing fixes and reboots, and move Windows 11 24H2 Home/Pro off their final security update by starting migrations and testing VPN, VDI, storage, and Secure Boot paths now." "Exchange Server: Four Exchange Server security updates (KB5129955/56/57/58) each address a single High‑severity CVE with a CVSS 8.8 score across Exchange 2016, 2019, and Subscription Edition. Given Exchange’s history as a high‑value target, treat these as near‑critical: prioritize rapid testing, deployment, and verification for all exposed servers." "Exchange Server: Four Exchange Server security updates (KB5129955/56/57/58) each address a single High‑severity CVE with a CVSS 8.8 score across Exchange 2016, 2019, and Subscription Edition. Given Exchange’s history as a high‑value target, treat these as near‑critical: prioritize rapid testing, deployment, and verification for all exposed servers." "Windows 11: Cumulative updates KB5127648 and KB5126653 advance Windows 11 24H2, 25H2, 26H2, and 23H2 to aligned build trains, with essentially the same security content across branches. Treat these as mandatory security baselines rather than optional feature waves and confirm that your patch compliance reporting is tracking build numbers, not just KB presence." "Windows 11: Cumulative updates KB5127648 and KB5126653 advance Windows 11 24H2, 25H2, 26H2, and 23H2 to aligned build trains, with essentially the same security content across branches. Treat these as mandatory security baselines rather than optional feature waves and confirm that your patch compliance reporting is tracking build numbers, not just KB presence." Microsoft's escalating Patch Tuesday numbers are emblematic of a broader reality of monthly CVE disclosures rising sharply; they've grown in volume by 145% over two years according to one analysis from Echo, from 3,173 in June 2024 to 7,765 in June 2026. There are a few reasons for this: it's partly due to the expansion of CVE programs in general, according to Echo's analysis, but also of course increasingly because ofAI-assisted vulnerability discovery. On an annual basis, CVE disclosures shot up from 30,949 in 2023 to 49,979 in 2025 and, based on the numbers so far, 2026 is clearly on track to surpass even that number. The question is, how are security teams to handle the increased workload? "Is AI to blame? Partly," said ZDI's Childs. "It's accelerating bug-hunting on both sides of the fence, so vendors are finding (and fixing) more flaws, and researchers are finding them faster too. But AI isn't creating these bugs out of thin air. It’s just shortening the time between a vulnerability existing and someone noticing it." As Fortra's Reguly implied, Childs said that security teams simply need to adapt. "What matters is that discovery is scaling faster than exploitation, so teams that triage by sheer CVE count instead of exploitability are burning cycles on the wrong bugs," he said. "Patch what's proven, prioritized, and public, and treat everything else as this month's new normal."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD