El martes 13 de octubre, Microsoft, Citrix, Fortinet e Ivanti publicaron actualizaciones de seguridad con dos urgencias claras: Windows e Ivanti Connect Secure tienen vulnerabilidades que ya se usan en ataques. CISA pidió atenderlas y fijó el viernes 16 de octubre como límite para las agencias civiles federales de Estados Unidos.

📊 Según SecurityWeek, Microsoft corrigió 1,413 CVE: 1,102 en Windows, 134 en Office, 61 en herramientas de desarrollo y 36 en SharePoint Server, además de actualizaciones para Exchange Server, Azure y Defender. Hay una diferencia de conteo que conviene tener presente: The Record recoge una cifra de 1,407 de Satnam Narang, de Tenable; ambos reportes sitúan el acumulado de 2026 por encima de 4,000, y The Record señala que el récord mensual anterior fue de 973 en septiembre. SecurityWeek afirma que este mes superó todo 2025 y atribuye buena parte del aumento a la IA; Narang compara su conteo con las 1,261 vulnerabilidades del año récord 2020.

🔒 En Windows, CVE-2026-96951, con puntuación CVSS de 8.8/10, permite saltarse protecciones de Mark of the Web desde Windows Shell: la marca que identifica archivos descargados de internet y activa controles como SmartScreen y la Vista protegida de Office. El ataque requiere convencer a la víctima de abrir contenido o realizar otra acción; Microsoft no ha divulgado detalles de las campañas, y recibió reportes independientes de investigadores de Fujitsu, Anthropic y un especialista independiente. CISA incorporó la falla a su catálogo de vulnerabilidades explotadas el martes.

🛠️ En Ivanti Connect Secure, CVE-2026-104935 tiene una puntuación de 8.6/10 y permite ejecutar comandos sin autenticación, en ataques de baja complejidad que no requieren interacción del usuario. BleepingComputer reporta que las versiones correctivas publicadas el martes son 22.8R2.5, 25.1.3.0, 25.1.3.1 y 25.1.1.2; Ivanti confirma explotación limitada y trabajo directo con las organizaciones afectadas. Volexity encontró una cadena de tres fallas capaz de obtener ejecución como root incluso en equipos que estaban completamente actualizados: dos quedaron corregidas bajo ese CVE y la tercera seguía pendiente de solución.

⚙️ Fuera de Microsoft, SecurityWeek contabiliza otras 29 vulnerabilidades: nueve de Citrix, 13 de Fortinet y siete de Ivanti. Los problemas incluyen ejecución de código, evasión de autenticación y exposición de información sensible; algunos afectan herramientas de administración, virtualización y acceso remoto. No es solamente una tanda para las computadoras del escritorio: también toca infraestructura que administra otros sistemas.

¿Por qué importa? Actualizar no siempre basta

En Connect Secure, el problema no termina al instalar el parche si el equipo ya fue comprometido. CISA advierte que Integrity Checker Tool puede no detectar esta explotación, porque los comandos del atacante se ejecutan en memoria; por eso pide revisar evidencia mediante análisis forense de red y memoria.

  • Defused identificó evidencia de explotación desde el 1 de octubre. Volexity comenzó a investigar el 5 de octubre y encontró actividad desde el día 3 en una VPN completamente actualizada; rastrea al actor como UTA0576.
  • La actividad incluyó robo de credenciales, extracción de datos, manipulación de registros y reconocimiento de red. Entre los objetivos estuvieron secretos de Active Directory, contraseñas de LAPS y claves de recuperación de BitLocker.
  • Volexity no encontró malware que permitiera seguir operando sin volver a explotar el dispositivo. Su valoración de que la motivación sería criminal, y no de espionaje, tiene un nivel de confianza bajo.
  • Shadowserver observa más de 5,600 equipos expuestos a internet con huellas de Connect Secure, pero se desconoce cuántos están protegidos o son honeypots. The Hacker News también reporta 105 intentos de explotación registrados por honeypots.
  • Es la sexta vulnerabilidad de Ivanti incorporada al catálogo de fallas explotadas de CISA en 2026. BleepingComputer contabiliza 36 desde noviembre de 2021, incluidas 12 utilizadas también en ataques de ransomware.

La alerta de The Hacker News también recoge el llamado de CISA a actualizar de inmediato. El plazo obligatorio estadounidense aplica a las agencias civiles federales, pero la recomendación de revisar y corregir los equipos afectados se dirige a todas las organizaciones.

  • Respaldar la configuración del dispositivo.
  • Restablecerlo de fábrica y actualizarlo; en instalaciones virtuales o en la nube, reconstruir la instancia y actualizarla.
  • Restaurar la configuración respaldada.
  • Cambiar las contraseñas de todas las cuentas, incluidas las de dominio, administración y locales; revocar y reemitir los certificados almacenados, y renovar las claves de API y las credenciales del servidor de licencias.

Qué más entra en la lista de parches

  • Microsoft corrigió dos fallas divulgadas públicamente antes del parche: CVE-2026-108398 permite evadir Windows Defender Application Control y la empresa considera poco probable su explotación; CVE-2026-92707 provoca denegación de servicio en MessagePack-CSharp, componente de Visual Studio y .NET, y no tenía valoración de probabilidad de explotación.
  • Citrix publicó tres avisos para nueve fallas en Workspace App para Windows, XenServer 8.4, XenServer 9 y UniconOS. Sus posibles efectos incluyen ejecutar código o comandos, elevar privilegios, leer archivos, filtrar información, provocar denegación de servicio y comprometer o tumbar el anfitrión desde una máquina virtual.
  • Fortinet publicó diez avisos para 13 fallas. Las críticas CVE-2026-106173 y CVE-2026-107656 afectan a FortiSIEM y a la interfaz gráfica de FortiSandbox, respectivamente: permiten ejecución de código y evasión de autenticación sin iniciar sesión.
  • Fortinet también corrigió cuatro inyecciones SQL de severidad alta en FortiAnalyzer, FortiAnalyzer Cloud, FortiManager y FortiManager Cloud, más otra en el webmail de FortiMail. Las cinco permiten a atacantes autenticados ejecutar código o comandos.
  • Las siete correcciones de Ivanti abarcan Connect Secure, Neurons Patch for Intune y Xtraction. En Neurons, CVE-2026-109412 puede exponer información sensible de autenticación; Xtraction recibió cinco correcciones, incluida CVE-2026-106042, que permite redirigir solicitudes de la aplicación y capturar credenciales del conector EPMM.

Ivanti ya arrastraba antecedentes importantes: ataques contra CVE-2023-46805 y CVE-2024-21887 en enero de 2024, seguidos por CVE-2024-21893 dos semanas después. En 2025 corrigió CVE-2025-0282 en enero y CVE-2025-22457, utilizada por actores de espionaje vinculados con China desde al menos mediados de marzo; la empresa había prometido una renovación de seguridad en 2024 tras ataques a organismos de Estados Unidos y Europa.

Microsoft propone agrupar preguntas, no saltarse revisiones

Para manejar listas tan grandes, Microsoft presentó un concepto exploratorio de cohortes de riesgo: agrupar CVE que obligan a responder preguntas similares sobre exposición, despliegue y límites de confianza. No son categorías oficiales ni sustituyen la evaluación individual, no cambian las instrucciones de actualización y todavía no aparecen como relaciones en Security Update Guide.

Un ejemplo reúne 64 CVE de clientes, puertas de enlace y servidores RDP para revisar qué funciones están desplegadas y expuestas; otro agrupa 119 CVE de Office, de las cuales 23 son críticas y 17 no requieren interacción. La idea es documentar una vez el contexto compartido y después valorar cada falla por explotación activa, severidad, vector y privilegios: una cohorte no implica que un solo parche o mitigación resuelva todo el grupo.

Microsoft no anunció un nuevo marco oficial ni comprometió una integración de producto: busca comentarios sobre la utilidad y los límites del enfoque. Para quienes administran equipos o desarrollan sobre estas plataformas, la distinción práctica es importante: reducir trabajo repetido no debe esconder excepciones como una falla que ya está bajo ataque.

💬 Si administras Windows o una VPN empresarial, ¿cómo decides qué parche instalar primero y cómo compruebas que el equipo no estaba comprometido?

¿Pero deveras? 🌵💚