Microsoft ha corregido en su Patch Tuesday de octubre, el mayor hasta ahora, CVE-2026-96951: un fallo de Windows Shell ya explotado que deja abrir archivos de internet sin los avisos de SmartScreen ni de Office. Afecta a cualquier empresa con equipos Windows. Instala las actualizaciones de octubre esta semana, empezando por quien recibe correo y descarga archivos.
Lo esencial
- El 13 de octubre de 2026 Microsoft corrigió 1.413 CVE, según SecurityWeek, Dark Reading y The Hacker News. BleepingComputer cuenta 1.411 porque solo incluye los publicados ese día. En septiembre fueron 974.
- CVE-2026-96951 (CVSS 8.8) es una inyección de comandos en Windows Shell que permite saltarse una función de seguridad a través de la red. Microsoft confirma que se explota activamente.
- CISA lo añadió a su catálogo KEV el 13 de octubre, con fecha límite del 16 de octubre para las agencias federales de EE. UU.
- Hay un segundo día cero, CVE-2026-108398 (CVSS 8.8), ya divulgado: un fallo de .NET Framework que se salta Windows Defender Application Control (WDAC). Necesita acceso local y Microsoft lo ve poco probable de explotar.
- El 13 de octubre Windows 11 24H2 Home y Pro y Windows 10 Enterprise LTSB 2016 llegaron al fin de soporte. Esta es su última actualización.
¿Por qué este fallo importa tanto?
Windows marca con el Mark of the Web (MotW) todo archivo que llega de internet. Esa etiqueta es la que activa los avisos que tu equipo ya conoce: «este archivo puede ser peligroso», la Vista protegida de Word o Excel, el bloqueo de macros.
CVE-2026-96951 hace que esa etiqueta no cuente. Según el análisis de Automox, quedan sin efecto SmartScreen, la Vista protegida de Office, el bloqueo de macros, Smart App Control y el aviso del Administrador de archivos adjuntos. Un documento, un comprimido o un acceso directo recibido por correo se abre como si fuera de confianza.
Microsoft no ha explicado cómo se explota, quién lo hace ni contra quién. Lo reportaron investigadores de Fujitsu, de Anthropic y un investigador independiente. Que no haya detalles no rebaja el riesgo: está confirmado que se usa.
¿Me afecta si mis equipos tienen Windows 11 24H2?
Sí, por partida doble. Como cualquier Windows, necesitan el parche de octubre. Y si son ediciones Home o Pro, este parche es el último que recibirán. A partir de ahora, cada fallo nuevo que se descubra quedará abierto en esos equipos.
Es habitual en pymes: portátiles comprados en tienda con Windows Pro que nadie ha movido de versión. Toca actualizarlos a una versión con soporte, igual que cualquier Windows 10 que siga sin ESU.
¿Tengo que tragarme 1.400 parches de golpe?
No los vas a revisar uno a uno, ni hace falta. Las actualizaciones acumulativas de Windows los instalan juntos. Lo que sí cambia es el orden: con este volumen, tu proveedor de TI tiene que saber qué va primero.
Microsoft estrena este mes unos «cohortes de riesgo» experimentales para ayudar a priorizar. Agrupa, por ejemplo, 135 fallos de documentos Office y clientes de correo y 136 de sistemas de archivos, almacenamiento y copias de seguridad. Útil, pero el primero de la lista está claro: CVE-2026-96951.
Qué hacer hoy
- Despliega las actualizaciones de octubre en todos los PC y servidores Windows esta semana. Empieza por los equipos que reciben correo y descargan archivos, y por administración y finanzas.
- Comprueba en Windows Update, Intune o tu RMM que se han aplicado de verdad, no solo que están programadas.
- Avisa hoy a la plantilla: hasta que el parche esté instalado, nada de abrir adjuntos o descargas inesperadas, aunque no salga el aviso de «protegido».
- Haz inventario de equipos con Windows 11 24H2 Home o Pro y planifica su migración a una versión con soporte.
- Pide a tu proveedor de TI o de seguridad gestionada que te confirme por escrito el estado de parcheo y que ha priorizado CVE-2026-96951.
Qué significa para una pyme
Este fallo ataca justo la capa de protección en la que más confía una empresa pequeña sin equipo de seguridad: los avisos automáticos de Windows y Office. Si tu defensa contra el phishing es «la gente ya sabe que si sale el cartel amarillo no se toca», esta semana esa regla no vale.
CISA da tres días a las agencias federales. No es una norma para ti, pero sí una buena vara de medir: si a final de semana no tienes el parche desplegado, vas tarde.
Lo de 24H2 Home y Pro es menos urgente pero más incómodo. Un equipo sin parches es un problema que crece cada mes. Si no sabes cuántos tienes, ese es el primer dato que necesitas. Si quieres ayuda para ordenar parcheo e inventario, puedes ver cómo trabajamos en ciberseguridad.
Preguntas frecuentes
¿Basta con tener antivirus?
No. El fallo anula avisos de Windows y Office que dependen del Mark of the Web. La solución es instalar la actualización de octubre.
¿Y el segundo día cero, el de .NET Framework?
También se corrige con las actualizaciones de octubre. Requiere acceso local y Microsoft lo considera poco probable de explotar, así que va detrás de CVE-2026-96951.
¿Mis equipos con Windows 11 24H2 Home o Pro dejan de funcionar?
No, siguen funcionando, pero ya no recibirán parches de seguridad. Conviene migrarlos a una versión con soporte.
Fuentes
- CISA – CISA Adds Two Known Exploited Vulnerabilities to Catalog
- BleepingComputer – Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days
- SecurityWeek – Microsoft Patches Record 1,413 Vulnerabilities, Including Exploited Windows Zero-Day
- Dark Reading – Zero-Days Lurk in Microsoft's Overgrown October Patch Tuesday
- The Hacker News – Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug
