Microsoft acaba de protagonizar un Patch Tuesday difícil de pasar por alto. La actualización de seguridad del 8 de septiembre de 2026 corrige cerca de un millar de vulnerabilidades repartidas entre Windows, Office, SQL Server, SharePoint, Exchange y otras piezas de su ecosistema, convirtiéndose en el mayor paquete mensual de parches publicado por la compañía hasta la fecha.
La cifra concreta cambia ligeramente dependiendo de cómo se realice el recuento. SecurityWeek y KrebsOnSecurity contabilizan 974 vulnerabilidades, Zero Day Initiative ronda las 972, mientras que BleepingComputer registra 966 al aplicar una metodología algo más restrictiva sobre qué fallos considera parte del Patch Tuesday propiamente dicho.
No obstante, la diferencia es casi anecdótica ante el tamaño del conjunto: Microsoft nunca había corregido tantas vulnerabilidades de una sola vez.
Entre todo ese volumen aparecen dos vulnerabilidades zero-day que ya estaban siendo explotadas en ataques reales, además de decenas de fallos críticos y alrededor de una veintena de vulnerabilidades que podrían permitir ataques similares a los de un gusano informático.
Dos zero-days ya estaban siendo utilizados
Microsoft confirmó que dos de las vulnerabilidades corregidas este mes habían sido explotadas antes de que existiera un parche público.
La primera es CVE-2026-85880, una vulnerabilidad en Windows Advanced Local Procedure Call, más conocido como ALPC.
ALPC es uno de los mecanismos internos utilizados por Windows para que distintos procesos puedan comunicarse entre ellos. Un atacante que ya consiga ejecutar código con pocos privilegios puede aprovechar el fallo para escapar de determinadas restricciones y conseguir privilegios SYSTEM, prácticamente el nivel máximo de control sobre un equipo Windows.
La segunda, CVE-2026-81963, afecta al propio Windows Update Stack, el conjunto de componentes responsables de gestionar la instalación de actualizaciones del sistema operativo, también permite elevar privilegios hasta SYSTEM.
Microsoft ha confirmado explotación real de ambas vulnerabilidades, aunque por el momento existe poca información pública sobre quién las está utilizando, contra qué objetivos o con qué alcance.
Eso no significa necesariamente que cualquiera pueda atacar un ordenador directamente desde Internet utilizando estos dos fallos, sino que son vulnerabilidades de elevación de privilegios, por lo que normalmente forman parte de una cadena de ataque.
Un atacante podría conseguir inicialmente acceso limitado mediante phishing, una vulnerabilidad en otra aplicación o unas credenciales comprometidas y utilizar después uno de estos fallos para escalar hasta SYSTEM, lo cual es una mecánica muy habitual en intrusiones reales: entrar primero y aumentar privilegios después.
¿Microsoft tiene ahora más vulnerabilidades?
La reacción fácil ante casi mil CVEs sería pensar que el software de Microsoft se ha vuelto repentinamente mucho más inseguro, pero resulta ser lo contrario, una parte importante del crecimiento probablemente tiene que ver con que somos mucho mejores encontrando vulnerabilidades que antes.
Microsoft lleva meses avisándo esta creciente tendencia.
En mayo explicó que esperaba que los Patch Tuesday fueran aumentando de tamaño debido a una combinación de automatización, más investigadores participando en programas de divulgación y nuevas técnicas de análisis de software, entre ellas se encuentra la inteligencia artificial.
Microsoft ya utiliza sistemas multiagente para analizar código en busca de vulnerabilidades y ha integrado modelos avanzados dentro de su propio ciclo de desarrollo seguro. Además, la compañía afirma que estas herramientas permiten analizar rutas de código y configuraciones a una escala que sería extremadamente difícil reproducir manualmente.
Microsoft empieza a preparar sus avisos para las máquinas
Curiosamente, Microsoft acompañó este Patch Tuesday con otro cambio que ha recibido bastante menos atención. Desde el 8 de septiembre, la compañía publica declaraciones VEX: Vulnerability Exploitability eXchange para todos los CVE asignados por Microsoft.
¿Que es VEX? es un formato pensado para que las herramientas puedan procesar automáticamente información sobre vulnerabilidades y determinar mejor si un determinado producto está realmente afectado. Con ello la idea es reducir parte del trabajo manual de interpretar avisos de seguridad.
Microsoft también reconoce que el creciente volumen de información sobre vulnerabilidades hace cada vez más importante disponer de datos estructurados y procesables por máquinas.
Más parches ≠ más riesgo
Que no cunda el pánico, que Microsoft haya corregido cerca de un millar de vulnerabilidades en un solo Patch Tuesday no significa necesariamente que el riesgo para las organizaciones se haya multiplicado en la misma proporción. Parte de ese crecimiento responde a que hoy existen mejores herramientas para encontrar fallos: más automatización, fuzzing, programas de recompensas e inteligencia artificial capaces de analizar grandes cantidades de código.
Eso hace crecer el número de CVE conocidos, pero también significa que cada vez más vulnerabilidades están siendo identificadas y corregidas antes.
Por ejemplo, una vulnerabilidad con CVSS 9,8 puede afectar a un componente que una empresa ni siquiera utiliza, mientras que otra con menor puntuación puede estar siendo explotada activamente contra sistemas expuestos. Por ello la prioridad debe combinar severidad, explotación conocida, exposición del activo, privilegios necesarios, disponibilidad de exploits y criticidad del sistema.
La gestión de vulnerabilidades está «mutando» de contar CVE a entender riesgo. Si la automatización y la IA permiten encontrar fallos cada vez más rápido, los «defensores» necesitarán herramientas igual de eficaces para separar el ruido de lo realmente urgente.
