Microsoft corrige 974 vulnerabilidades en un día; dos ya estaban siendo explotadas
Microsoft ha publicado el mayor paquete de actualizaciones de seguridad de su historia con motivo del Patch Tuesday de septiembre, la jornada mensual de correcciones. La empresa ha corregido 974 vulnerabilidades en sus productos y servicios, incluidas dos vulnerabilidades «de día cero» especialmente peligrosas: CVE-2026-85880 y CVE-2026-81963.
Se llama vulnerabilidad de día cero a aquella para la que el desarrollador, en la práctica, no ha llegado a preparar una protección antes de que comiencen los ataques. En este caso, Microsoft indicó que ambas vulnerabilidades ya estaban siendo explotadas activamente por atacantes, por lo que recomienda encarecidamente a los usuarios instalar las actualizaciones cuanto antes.
El golpe principal recayó en Windows: se corrigieron 723 vulnerabilidades del sistema operativo. También se resolvieron otros 111 problemas en Microsoft Office. En total, 114 de los fallos corregidos recibieron la categoría de críticos, más de una décima parte del total. Se consideran críticas las vulnerabilidades que pueden permitir la ejecución remota de código, eludir protecciones u ocasionar otras consecuencias graves sin que el atacante tenga que realizar acciones complejas.
Según Microsoft, la magnitud de la publicación de septiembre podría convertirse en la nueva norma. Desde comienzos de 2026, la empresa ya ha corregido 2760 CVE, identificadores de vulnerabilidades de la base de datos internacional de seguridad. La cifra supera en más del doble la de cualquier año completo anterior. A modo de comparación: durante todo 2025, Microsoft corrigió 1139 CVE y, en 2016, solo 492.
El aumento del número de correcciones no significa necesariamente que los productos se hayan vuelto de repente el doble de peligrosos. Una parte de la explicación podría ser más prosaica: los especialistas usan herramientas de búsqueda basadas en inteligencia artificial y encuentran fallos que antes podían pasar inadvertidos. Para quien tiene un ordenador, sin embargo, la diferencia es pequeña: da igual si una máquina o una persona descubre una vulnerabilidad, hay que corregirla igualmente.
Microsoft también señaló que se observa una tendencia parecida en otras empresas. Dustin Childs, que analizó la publicación, apuntó a la actividad de Adobe. Los desarrolladores de navegadores, entre ellos Google, Mozilla, Brave y la propia Microsoft, han reducido a dos semanas el intervalo entre las principales versiones para hacer llegar las correcciones a los usuarios más rápido.
La actualización de septiembre no solo afectó a la seguridad. Microsoft resolvió problemas conocidos, como fallos de Teams y Outlook en ordenadores con procesadores Arm64, y también actualizó componentes de inteligencia artificial de Copilot+. Los usuarios de Windows y los administradores de sistemas de las empresas deberían comprobar que los parches se han instalado y que la actualización ha finalizado sin errores.
PEREC.RU
El Patch Tuesday de septiembre de 2026 se convirtió en la mayor publicación de actualizaciones de seguridad de la historia de Microsoft. La empresa corrigió 974 vulnerabilidades en sus principales productos y servicios. La mayor parte correspondió a Windows, con 723 fallos; otros 111 problemas se resolvieron en Microsoft Office.
Llamaron especialmente la atención dos vulnerabilidades: CVE-2026-85880 y CVE-2026-81963. Microsoft informó de que los atacantes ya estaban explotando activamente ambas. Eso significa que los ataques se producen antes de que se distribuya la corrección o al mismo tiempo, así que usuarios y organizaciones no deberían aplazar la instalación de las actualizaciones.
De los 974 problemas corregidos, 114 recibieron la categoría de críticos. Se incluyen aquí las vulnerabilidades que pueden permitir a un atacante ejecutar código a distancia, eludir los mecanismos de protección o hacerse con un control grave del sistema.
Según Dustin Childs, Microsoft ya ha corregido 2760 CVE desde comienzos de 2026. CVE es el identificador único que se asigna a una vulnerabilidad conocida en el sistema internacional de registro. La cifra de 2026, que aún no ha terminado, supera en más del doble el resultado de cualquier año completo anterior: en 2025 Microsoft corrigió 1139 CVE y en 2016, 492.
El aumento del número de correcciones puede deberse a algo más que a un incremento de los errores. Microsoft y otras empresas utilizan cada vez más herramientas de detección basadas en inteligencia artificial, por lo que los especialistas encuentran más problemas que antes podían pasar inadvertidos. Para los usuarios, la conclusión práctica no cambia: hay que corregir una vulnerabilidad conocida con una actualización, sea cual sea el método con el que se haya descubierto.
También hay mucha actividad en otras empresas. Dustin Childs mencionó en particular a Adobe. Google, Mozilla, Brave y Microsoft han reducido a dos semanas los ciclos de publicación de correcciones para navegadores, con el fin de hacer llegar antes la protección a los usuarios.
El paquete de septiembre incluyó algo más que parches de seguridad. Microsoft corrigió fallos de Teams y Outlook en ordenadores con arquitectura Arm64 y también actualizó componentes de Copilot+. Se recomienda a los usuarios de dispositivos Windows y a los administradores de sistemas comprobar que la actualización se haya instalado por completo y sin errores.
