NoticiasNews

Microsoft publica un récord de 1,413 correcciones en su Patch Tuesday de octubre y una falla de Windows ya explotadaMicrosoft ships a record 1,413 fixes in October Patch Tuesday, including an exploited Windows flaw

2026-10-14

Microsoft liberó el 13 de octubre de 2026 su mayor paquete de actualizaciones mensuales: 1,413 vulnerabilidades, según The Hacker News. Por producto, 1,102 corresponden a Windows, 134 a Office, 61 a herramientas de desarrollo, 36 a SharePoint Server y 22 a SQL Server. Más de 70 son críticas.

El zero-day explotado

La falla CVE-2026-96951 (CVSS 8.8) es una inyección de comandos en el shell de Windows que permite saltarse la protección Mark of the Web, y Microsoft confirma que se explota en ataques reales. CISA la incluyó en su catálogo KEV con fecha límite del 16 de octubre para las agencias federales de EE. UU. No se han detallado los objetivos ni la forma del ataque.

Otros puntos a vigilar

  • CVE-2026-108398 (CVSS 8.8): ruta de búsqueda no confiable en .NET Framework que permite a un usuario local autenticado evadir WDAC; es de conocimiento público, aunque no se reporta explotada.
  • Una falla de desbordamiento en la extensión de imágenes RAW (CVE-2026-21413, CVSS 9.8) podría permitir ejecución remota de código al generarse una miniatura, sin abrir el archivo.

Menos CVE, mejor priorización

Con más de 4,000 CVE de Microsoft corregidos en lo que va de 2026, según Tenable, y la IA acelerando el descubrimiento de fallas, Dustin Childs, de ZDI, recomienda priorizar por explotabilidad y no por el simple conteo. Microsoft introdujo "cohortes de riesgo" para agrupar CVE similares, aunque aclara que cada una debe evaluarse según explotación, severidad, vector de ataque e interacción del usuario.

Para las empresas dominicanas, el reto es operativo: probar, priorizar y desplegar. Con Servigo365 puedes registrar cada ciclo de parcheo como solicitudes con responsables y plazos, y con CumplimientoControl conservar la evidencia de que los controles se ejecutaron. Si necesitas automatizar el inventario y el seguimiento a la medida, TEKFENIX desarrolla ese software contigo.

Fuente: The Hacker News (14 de octubre de 2026), sobre el Patch Tuesday de Microsoft del 13 de octubre.

On October 13, 2026, Microsoft released its largest monthly update ever: 1,413 vulnerabilities, according to The Hacker News. By product, 1,102 affect Windows, 134 Office, 61 developer tools, 36 SharePoint Server and 22 SQL Server. More than 70 are rated critical.

The exploited zero-day

CVE-2026-96951 (CVSS 8.8) is a command injection in the Windows shell that bypasses Mark of the Web protections, and Microsoft says it is exploited in the wild. CISA added it to the KEV catalog with an October 16 deadline for US federal agencies. Targets and attack details have not been disclosed.

Other items to watch

  • CVE-2026-108398 (CVSS 8.8): an untrusted search path in .NET Framework that lets a local, authenticated user bypass WDAC; it is publicly known but not reported as exploited.
  • A heap overflow in the RAW Image Extension (CVE-2026-21413, CVSS 9.8) could enable remote code execution when a thumbnail is generated, without opening the file.

Fewer CVEs, better prioritization

With more than 4,000 Microsoft CVEs fixed so far in 2026, per Tenable, and AI speeding up vulnerability discovery, ZDI's Dustin Childs advises prioritizing by exploitability rather than raw counts. Microsoft introduced "risk cohorts" to group similar CVEs, while noting each should still be assessed for exploitation, severity, attack vector and user interaction.

For businesses, the challenge is operational: test, prioritize and deploy. With Servigo365 you can track each patch cycle as requests with owners and deadlines, and with CumplimientoControl keep evidence that controls were carried out. If you need inventory and follow-up automated to fit your process, TEKFENIX builds that software with you.

Source: The Hacker News (October 14, 2026), on Microsoft's October 13 Patch Tuesday.

← Volver al blog← Back to blog