Microsoft corrige una falla de Windows que ya se explota
El lote de octubre suma 1 411 fallas, el mayor hasta ahora según BleepingComputer, pero solo CVE-2026-96951 está bajo ataque y ya tiene parche.
Microsoft publicó este 13 de octubre su actualización mensual de seguridad, el llamado Patch Tuesday, con correcciones para 1 411 vulnerabilidades, según el conteo de BleepingComputer, que lo describe como el lote más grande hasta ahora. Una de ellas, CVE-2026-96951, ya se usa en ataques y tiene parche en esta misma entrega. Zero Day Initiative, de Trend Micro, aconseja probar e instalar ese parche cuanto antes.
La falla está en Windows Shell, el componente que gestiona la interfaz del sistema, y deja saltarse el Mark of the Web, la etiqueta con la que Windows marca lo que se descarga de internet para avisar antes de abrirlo. Zero Day Initiative la califica como Important, con CVSS 8.8, y es la única de la entrega que figura como explotada. Microsoft la describe, según BleepingComputer, como una falla que deja a un atacante no autorizado saltarse una función de seguridad por red. Rapid7 añade que el usuario tendría que abrir un archivo manipulado o visitar un sitio del atacante.
Faltan datos que el aviso de Microsoft debe aclarar y que este medio no pudo consultar: las versiones afectadas y los números de las actualizaciones. BleepingComputer indica que no se ha dicho quién reportó la falla ni cómo se explotó. Rapid7 informa que Windows Server 2012 no recibe parche y que Windows Server 2012 R2 sí.
Otras dos fallas ya eran públicas antes del parche, sin explotación conocida:
- CVE-2026-108398, en .NET Framework, puede saltarse Windows Defender Application Control; la halló James Forshaw, de Google Project Zero.
- CVE-2026-92707, en la biblioteca MessagePack-CSharp, causa una denegación de servicio y es de severidad Moderate.
BleepingComputer cuenta 70 fallas críticas en total, y Rapid7 destaca cinco de ejecución remota de código en Outlook que pueden dispararse desde el panel de vista previa.
Con esta entrega, Windows 11 24H2 en sus ediciones Home y Pro y Windows 10 Enterprise LTSB 2016 reciben su última actualización de seguridad, según BleepingComputer. Quien use esas ediciones tendrá que pasar a otra versión para seguir recibiendo parches.
El total cambia según quien cuente: Rapid7 suma 1 413 y Zero Day Initiative, 1 415, mientras BleepingComputer deja fuera 348 fallas corregidas antes en octubre. Las cifras siguen sin confirmarse en el aviso de Microsoft.
