Entre los más de 1.400 fallos corregidos por Microsoft el 13 de octubre, CVE-2026-96951 (CVSS 8,8) ya está siendo explotado: permite que un archivo malicioso eluda la protección Mark of the Web. Afecta a todas las versiones compatibles de Windows y Windows Server, y la CISA dio tres días a las agencias estadounidenses para parchear.
Qué ha pasado
El Patch Tuesday de octubre de 2026, publicado por Microsoft el 13 de octubre, vuelve a batir récords: 1.413 vulnerabilidades según The Hacker News, 70 de ellas críticas según 01net. Solo una figura como ya explotada: CVE-2026-96951 (CVSS 8,8), una inyección de comandos en el shell de Windows que permite eludir Mark of the Web (MOTW). Es la marca que Windows pone a los archivos descargados o recibidos por correo, y la que activa los avisos de SmartScreen y la vista protegida de Office.
La CISA estadounidense añadió el fallo a su catálogo de vulnerabilidades explotadas ese mismo día y dio a las agencias federales hasta el 16 de octubre para corregirlo. Microsoft menciona además un fallo en .NET Framework, CVE-2026-108398 (CVSS 8,8), otra elusión de protección divulgada antes del parche pero sin ataques conocidos.
A quién afecta y cómo entran los atacantes
Todas las versiones compatibles están afectadas: Windows 10, Windows 11 y Windows Server 2012 R2, 2016, 2019, 2022 y 2025, incluido Server Core. El ataque no es automático: según Microsoft, la víctima debe abrir un archivo manipulado recibido por correo o mensajería instantánea, o seguir un enlace a un sitio malicioso. Sin la marca MOTW, el archivo se abre sin el aviso habitual. En el lado de los servidores, el riesgo se concentra en los servidores de Escritorio remoto (RDS) y en los servidores de salto de administración, donde se lee el correo y se navega por la web.
Qué hacer ahora
- Despliegue la actualización acumulativa de octubre, primero en puestos y servidores RDS y después en todas partes: KB5126646 (Windows Server 2025), KB5126655 (2022), KB5126651 (2019), KB5126868 (2016), KB5126836 (2012 R2), KB5127648 (Windows 11 24H2 y 25H2), KB5126657 (Windows 10 21H2 y 22H2).
- Compruebe que está instalada: en PowerShell,
Get-HotFix -Id KB5126655(con el KB de su versión), o lea la revisión del build con(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR. Mínimos esperados: 20348.5761 para Server 2022, 17763.9376 para Server 2019, 26100.33650 para Server 2025. - Filtre los adjuntos en la pasarela de correo: accesos directos, scripts, imágenes de disco y archivos comprimidos con contraseña no suelen tener motivo para llegar a sus usuarios.
- Revise las alertas de su EDR de los últimos días en busca de procesos inusuales lanzados por explorer.exe u Outlook.
Nuestra opinión
Eludir MOTW no basta para tomar un servidor, pero elimina el último aviso entre un adjunto malicioso y un clic. Con más de 1.400 correcciones en un mes, la única regla viable es priorizar: los fallos ya explotados se despliegan en pocos días, empezando por las máquinas donde se lee el correo.
Fuentes
- Microsoft — Security Update Guide, CVE-2026-96951
- CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-96951
- 01net — Plus de 1 400 failles Windows : le nouveau record monstrueux du Patch Tuesday de Microsoft
- The Hacker News — Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug
Cómo elegimos, verificamos y redactamos nuestros análisis →
Las credenciales robadas suelen empezar con un mensaje de phishing. ¿Ha recibido un SMS o un correo sospechoso? Compruébelo antes de hacer clic:
¿Le preocupa que sus servidores estén expuestos? Nuestro equipo audita, parchea y supervisa infraestructuras Linux y cloud 24/7.
Hablar con un experto Nuestros servicios de servidores gestionados →
