Microsoft publicó este 13 de octubre de 2026 un Patch Tuesday con 1,411 vulnerabilidades corregidas en sus productos: una cifra récord que incluye una falla ya explotada y otras dos divulgadas públicamente. La jornada también marca el fin de las actualizaciones para Windows 11 24H2 Home y Pro y Windows 10 Enterprise LTSB 2016, de acuerdo con la cobertura de BleepingComputer.

🔒 De las fallas corregidas, 70 están clasificadas como críticas: 57 permiten ejecución remota de código, 11 elevación de privilegios y dos suplantación. El total no incluye otras 348 vulnerabilidades reparadas previamente este mes; como referencia, Techmeme recoge el reporte de Brian Krebs de que septiembre había marcado un récord de 972, aproximadamente diez veces la carga mensual habitual.

💻 Para Windows 11 llegaron las acumulativas KB5127648 y KB5126653, que abarcan las versiones 26H2, 25H2, 24H2 y 23H2. Este décimo Patch Tuesday de 2026 incorpora parches obligatorios de seguridad y cambios de uso diario; 24H2, 25H2 y 26H2 comparten la base de actualización, sin novedades exclusivas entre ellas, según el reporte de las acumulativas.

⚙️ En Windows 10, KB5126657 está disponible para equipos inscritos en ESU y las ediciones Enterprise LTSC correspondientes: deja Windows 10 en la compilación 19045.7807 y Enterprise LTSC 2021 en 19044.7807. No añade nuevas funciones generales al sistema; concentra seguridad, correcciones y ajustes, aunque todavía arrastra problemas con ciertos dispositivos de audio USB.

🛠️ El otro pendiente es revisar la edición instalada: el parche de octubre es el último para Windows 11 24H2 Home y Pro, pero Enterprise y Education conservan soporte hasta el 12 de octubre de 2027. Microsoft recomienda migrar a Windows 11 26H2, cuya distribución es gradual; recibir el parche de hoy no significa que una edición conserve soporte el próximo mes.

¿Por qué importa para quienes programan y administran equipos?

No todo se reduce a reiniciar Windows: las correcciones también alcanzan componentes como .NET Framework y MessagePack-CSharp. Para decidir por dónde empezar, conviene distinguir las fallas explotadas, los componentes presentes en cada entorno y las versiones que están por quedarse sin actualizaciones.

  • CVE-2026-96951, Windows Shell: ya estaba siendo explotada. Permite eludir Mark of the Web mediante una falla de inyección de comandos accesible por red; no se publicaron detalles de los ataques ni quién la reportó.
  • CVE-2026-108398, .NET Framework: divulgada públicamente y descubierta por James Forshaw, de Google Project Zero. Un atacante autenticado puede colocar un ensamblado .NET manipulado y registrarlo para que lo cargue un proceso protegido, eludiendo Windows Defender Application Control y ejecutando código dentro de ese proceso sin interacción del usuario.
  • CVE-2026-92707, MessagePack-CSharp: también divulgada públicamente. Una asignación secuencial de memoria sin control adecuado permite a un atacante no autorizado provocar una denegación de servicio por red; Microsoft no identificó a quien la descubrió.
  • El desglose parcial por categorías incluye 677 fallas de elevación de privilegios, 40 de evasión de funciones de seguridad, 317 de ejecución remota de código y 254 de divulgación de información.
  • Las 348 correcciones previas excluidas del total corresponden, entre otros productos, a Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server y Microsoft Partner Center.
  • BleepingComputer sitúa este récord en el contexto del uso continuado de plataformas de inteligencia artificial por Microsoft para encontrar y remediar vulnerabilidades.
  • Microsoft estrenó un enfoque experimental de 15 grupos de riesgo, o risk cohorts. Entre ellos hay grupos con 136 fallas de sistemas de archivos, almacenamiento y respaldos; 135 de documentos de Office y clientes de correo; 131 de gráficos, medios y procesamiento de contenido; 109 de límites de privilegios del núcleo de Windows; y 103 de instalación, despliegue y actualización.
  • Estos grupos no son una clasificación automática de peligrosidad ni sustituyen las recomendaciones de parcheo. Microsoft publicó un PDF con la correspondencia; la prioridad real depende también de la explotación activa, la gravedad y el uso del software en cada organización.
  • Explorador de archivos: los HTML descargados de internet incorporan un botón para aceptar la advertencia y ver la vista previa; archivos no HTML, como los PDF, se previsualizan automáticamente. Inicio conserva las secciones expandidas o contraídas, mejoran las miniaturas de archivos en la nube y el panel Detalles reorganiza las propiedades.
  • Barra de direcciones: se corrige un error que podía borrar su contenido al entrar al modo de edición haciendo clic cerca del extremo derecho.
  • Emoji 17.0: llegan nuevos diseños, como una cara distorsionada, una nube de pelea y una criatura peluda. También se ajustan la cara que saluda, la cara con ojo entreabierto, el ganso, el loto y el gato que besa; el panel se abre con la tecla Windows y punto.
  • Widget de consejos: ofrece indicaciones breves sobre funciones de Windows. Puede añadirse desde el tablero de widgets o a la pantalla de bloqueo desde Configuración, Personalización y Pantalla de bloqueo.
  • Fondos de escritorio: se añade compatibilidad con imágenes DIB y con presentaciones en varios escritorios sin que el sistema cambie automáticamente al modo Imagen. También mejoran la página de configuración, la resolución de las vistas previas, su visualización en monitores verticales, las transiciones en cuentas nuevas y el procesamiento de cambios rápidos de fondo.
  • Bluetooth: el indicador de volumen aparece al ajustar un accesorio Bluetooth Classic Audio durante llamadas. Se corrigen estados de conexión y del interruptor de radio incorrectos, mejora la estabilidad de Configuración y la compatibilidad de micrófonos; también se atiende un cierre con código 0x139 al transmitir audio y se mejora LE Audio y el audio compartido.
  • Instalación: las acumulativas pueden buscarse en Inicio, Configuración, Windows Update y Buscar actualizaciones, o descargarse manualmente desde Microsoft Update Catalog.
  • Respaldos y almacenamiento: se repara Historial de archivos cuando falla al respaldar o restaurar hacia unidades externas o ubicaciones de red y muestra por error que hay que reconectar la unidad. También se corrige que algunos discos virtuales de Storage Spaces Direct queden desconectados tras una actualización por interpretar metadatos válidos como inválidos.
  • ReFS: se habilita por defecto la auditoría de volúmenes en almacenamiento externo. Los controles opcionales de aplicación de políticas permanecen desactivados inicialmente para dar tiempo a los administradores a evaluar el endurecimiento; Microsoft remite a KB5130741.
  • Fecha y hora: se incorpora soporte para horario de verano permanente en Columbia Británica y Alberta desde noviembre de 2026, además de la zona Manitoba Standard Time, UTC-5.
  • Secure Boot: continúa la distribución gradual de certificados actualizados mediante Windows Update a equipos compatibles identificados como preparados para recibirlos.
  • Audio USB: algunos dispositivos USB Audio Class 1.0 afectados desde el parche del 8 de septiembre pueden mostrar Código 10, no emitir sonido o dejar sin respuesta los controles de volumen y ajustes. Algunos funcionan en estéreo, pero fallan con ocho canales o audio 3D; usuarios han reportado recuperar sonido al cambiar a dos canales.
  • Solución parcial: la actualización extraordinaria del 14 de septiembre de 2026 corrigió los problemas de ocho canales y audio 3D, pero quedan otros síntomas pendientes. Microsoft sigue trabajando en ellos y dirige a los administradores que necesiten una alternativa inmediata a su soporte empresarial.
  • Disponibilidad y alcance: los equipos elegibles pueden buscar KB5126657 desde Windows Update. La documentación oficial también incluye Windows 10 IoT Enterprise LTSC 2021 y recuerda que el soporte gratuito de Enterprise LTSC 2021 termina el 12 de enero de 2027.

Los detalles de Windows 10 están documentados en la ficha oficial de KB5126657 y en el reporte de su lanzamiento. Microsoft señala que, si ya se instalaron las actualizaciones anteriores, solamente se descargan e instalan los cambios nuevos del paquete.

  • La actualización incorpora la pila de mantenimiento KB5127308, versión 19041.7789. Microsoft exige tener la SSU más reciente; de lo contrario, la acumulativa podría no ofrecerse. La pila añade validación de equipos alojados en Azure mediante una cadena de certificados actualizada, por lo que deben ser accesibles los dominios necesarios para certificados.
  • Para mantenimiento de imágenes sin conexión que no tengan KB5028244 del 25 de julio de 2023 o una acumulativa posterior, se requiere antes la SSU independiente KB5031539 del 13 de octubre de 2023.
  • Para despliegues con WSUS o paquetes independientes del catálogo, los equipos sin KB5003173 del 11 de mayo de 2021 o una acumulativa posterior necesitan primero la SSU KB5005260 del 10 de agosto de 2021.
  • Al aplicar actualizaciones dinámicas a imágenes existentes, el medio debe incluir boot.stl, correspondiente a la versión y arquitectura de Windows. Omitirlo puede impedir el arranque y producir el error 0xc0430001; Microsoft recomienda el script Update WinPE o copiarlo desde la carpeta Windows\Boot\EFI del equipo.
  • La documentación identifica KB5015684 como paquete de habilitación para Windows 10 22H2 y KB5003791 para 21H2 en ediciones compatibles. KB5126657 incorpora correcciones de KB5122878 del 8 de septiembre y de KB5129236 del 14 de septiembre, además del paquete de preparación de licencias ESU.
  • Windows 11 24H2 Home y Pro y Windows 10 Enterprise LTSB 2016: octubre de 2026 es su última actualización; dejan de recibir los parches mensuales de seguridad y las versiones preliminares no relacionadas con seguridad.
  • Windows 11 24H2 Enterprise y Education: mantienen soporte hasta el 12 de octubre de 2027.
  • Windows 11 26H2, también llamado Windows 11 2026 Update: está disponible de forma general desde septiembre de 2026 como paquete de habilitación y su soporte para consumidores termina en octubre de 2029. El despliegue se ampliará durante los próximos meses.
  • Distribución de 26H2: Microsoft describe un despliegue por fases para equipos elegibles con la opción de recibir las actualizaciones más recientes en cuanto estén disponibles. Cuando esté lista para un dispositivo, se descargará e instalará automáticamente y requerirá un reinicio.
  • Windows 11 23H2 Enterprise, Education e IoT Enterprise: dejarán de recibir actualizaciones de seguridad el próximo mes. Home y Pro terminaron su soporte en noviembre de 2025.
  • Otros avisos: Microsoft amplió este año el programa gratuito ESU de Windows 10 para usuarios domésticos. Windows Server 2022 termina hoy su soporte principal, pero conserva soporte extendido hasta octubre de 2031.
  • Equipos con versiones sin soporte: Microsoft advirtió que dejarán de recibir actualizaciones de seguridad después de la rotación de certificados de Windows Update prevista para el próximo año.

El aviso sobre Windows 11 24H2 distingue las fechas por edición: no basta con saber que una PC tiene Windows 11. Para consultar el producto exacto, Microsoft mantiene su buscador de ciclos de vida, con calendarios de soporte, mantenimiento y migración.

  • Adobe y Atlassian: Adobe actualizó Commerce, Substance 3D Samples, ColdFusion, Photoshop, Dimension y Framework. Atlassian corrigió CVE-2026-21589 en productos Data Center autohospedados, incluidos Confluence, Jira y Bitbucket; hubo explotación después de publicarse una prueba de concepto.
  • Cisco, Citrix y Fortinet: Cisco corrigió fallas críticas de NX-OS que permiten ejecutar código con privilegios root en switches Nexus. Citrix atendió problemas de NetScaler ADC y Gateway, incluido CVE-2026-88779, explotado antes del parche; Fortinet corrigió, entre otros, CVE-2026-104286 de FortiMail, también utilizado en ataques de día cero.
  • Docker, GitLab y Dell: Docker reparó una falla crítica de DockerHub que permitía suplantar usuarios y subir imágenes a repositorios ajenos. GitLab actualizó AI Gateway y CI/CD Regular Expression Compiler; Dell corrigió vulnerabilidades críticas en su herramienta de línea de comandos System Update y en Container Storage Modules.
  • Ivanti, Kiteworks y Progress: Ivanti corrigió una falla de día cero explotada en Connect Secure. Kiteworks publicó correcciones para 126 vulnerabilidades, incluida una de gravedad máxima en Email Protection Gateway; Progress atendió fallas críticas y de gravedad alta en MarkLogic Server.
  • SAP y SonicWall: SAP corrigió 20 vulnerabilidades, incluida una SSRF de gravedad máxima relacionada con OAuth2 en Cloud SDK para Python. SonicWall reparó una SSRF crítica en SMA1000 que fue explotada en un plazo de dos días.

💬 ¿Qué te complica más al actualizar tus equipos: comprobar compatibilidad, probar los parches o migrar las versiones que se quedan sin soporte?

¿Pero deveras? 🌵💚