Microsoft publicó correcciones para 966 vulnerabilidades en su Patch Tuesday de septiembre de 2026, la mayor entrega individual de su historia y suficiente para llevar el acumulado del año a unas 2.750 —más del doble del récord anual anterior, de alrededor de 1.250 en 2020—, según el recuento de InfoQ. Dos de los fallos ya estaban siendo explotados.
Claves del boletín
- El desglose de BleepingComputer contabiliza 438 fallos de elevación de privilegios, 258 de ejecución remota de código, 173 de divulgación de información y 105 calificados como críticos por Microsoft.
- Los dos días cero explotados, CVE-2026-81963 en el Windows Update Stack y CVE-2026-85880 en Windows ALPC, son fallos locales de elevación de privilegios con una puntuación CVSS de 7,8.
- Microsoft mantiene en marcha un sistema interno de descubrimiento de vulnerabilidades impulsado por IA, y los profesionales de seguridad señalan que la restricción se ha desplazado de encontrar fallos a evaluar, probar y desplegar las correcciones.
Qué salió realmente en septiembre
Los recuentos de los distintos proveedores varían ligeramente porque cada uno traza en otro punto la frontera de la entrega: Tenable contó 964 CVE y 104 entradas críticas, mientras que SecurityWeek elevó la cifra a 974. La forma del conjunto es la misma tomes la línea que tomes: predomina la elevación de privilegios, la ejecución remota de código supone en torno a una cuarta parte del lote y poco más de un centenar de elementos llevan la etiqueta de crítico de Microsoft.
Los dos fallos bajo ataque activo son los que tienen un reloj en marcha. CVE-2026-81963 es un problema de seguimiento de enlaces en el Windows Update Stack que permite a un atacante autorizado escalar a SYSTEM; lo notificó el investigador Romain Deperne junto al Microsoft Threat Intelligence Center. CVE-2026-85880 es un desbordamiento de búfer en el heap dentro de Windows Advanced Local Procedure Call con el mismo desenlace, atribuido a Mark Kelly, de Volexity, y a David Galazin y Jeremy Hedges, de Proofpoint.
Ninguno es por sí solo una puerta de entrada remota. Ambos son la segunda mitad de una cadena de intrusión, y precisamente por eso aparecen en campañas reales: un atacante que ya tiene un punto de apoyo los usa para hacerse con la máquina.
Por qué las cifras no dejan de subir
Microsoft ha confirmado que emplea un sistema con IA para buscar fallos en sus propios productos, y la curva de volumen sigue esa adopción. No es un caso aislado. El periodista de seguridad Brian Krebs ha observado que Microsoft está lejos de ser el único gran fabricante que entrega paquetes de parches desmesurados este año, y varias compañías atribuyen el salto en hallazgos a herramientas basadas en grandes modelos de lenguaje.
Desde Ars Technica, Dan Goodin situó el repunte frente a una carta abierta en la que OpenAI, Anthropic, AWS, Google, Microsoft y otros advertían de que los ciberataques asistidos por IA serían bastante más frecuentes y sofisticados. La respuesta del sector ha sido apuntar esa misma capacidad primero contra su propio código: una estrategia defendible que, de paso, genera una factura enorme para todos los que están aguas abajo.
El patrón ya se aprecia también en el instrumental ofensivo, donde los agentes de pruebas autónomos han empezado a sacar a la luz hallazgos que sobrevivieron años de revisión convencional. Nuestro artículo anterior sobre un pentester con IA que localizó un token de administrador de tres años en 25 minutos describe la misma dinámica desde el lado del atacante.
La queja de quienes lo despliegan
Ninguno de los profesionales citados por InfoQ discute que encontrar más fallos sea bueno. Su objeción tiene que ver con la capacidad del otro extremo de la cadena.
Jack Bicer, director de investigación de vulnerabilidades en Action1, sostuvo que a esta escala lo difícil no es recorrer la lista, sino saber qué merece atención primero: los equipos de TI se ven obligados a separar los elementos que exigen actuar el mismo día de los que pueden esperar al ciclo normal de despliegue. Marva Bailer, CEO fundadora de Qualaix, expuso el coste operativo con más crudeza:
Encontrar el problema es solo un paso. Las organizaciones todavía tienen que entender su exposición, probar el parche, determinar a qué más puede afectar y después desplegarlo en potencialmente miles de dispositivos y sistemas interconectados.
Bailer señaló además el estrechamiento que más importa: la IA acorta la distancia entre que un fallo exista y que se conozca, lo que comprime la ventana de la que disponen los equipos para probar y distribuir una corrección antes de que alguien la convierta en arma. Tyler Reguly, director asociado de I+D de seguridad en Fortra, fue aún más directo y sugirió que, mientras Microsoft se pone al día con su propio atraso, los recuentos en bruto han dejado de aportar demasiada señal.
Qué cambia para los equipos de TI y seguridad
El giro práctico es que la gestión de parches se está convirtiendo en un problema de priorización más que de cobertura. Nadie despliega 966 correcciones en una ventana de mantenimiento, así que el trabajo se traslada aguas arriba: determinar cuáles de esos CVE tocan sistemas realmente expuestos y construir suficiente automatización de pruebas para validar un lote sin revisar cada elemento a mano.
Eso favorece a las organizaciones con inventarios de activos fiables y canalizaciones de despliegue automatizadas, y penaliza a quienes gestionan sus ciclos de parcheo con hojas de cálculo. Si la curva del fabricante se mantiene —y Microsoft no ha dado señal alguna de querer frenar el descubrimiento—, octubre no será más pequeño.
Preguntas frecuentes
¿Cuántas vulnerabilidades parcheó Microsoft en septiembre de 2026?
BleepingComputer contabilizó 966 fallos corregidos en el Patch Tuesday, mientras que Tenable registró 964 CVE y SecurityWeek contó 974 en el conjunto de la entrega. Las diferencias proceden del punto en que cada seguimiento traza la frontera de la publicación, no de una discrepancia sobre los avisos en sí.
¿Qué vulnerabilidades de septiembre de 2026 se están explotando?
Dos: CVE-2026-81963 en el Windows Update Stack y CVE-2026-85880 en Windows ALPC. Ambas son fallos locales de elevación de privilegios con CVSS 7,8 que permiten a un atacante con acceso previo a la máquina escalar a SYSTEM, así que conviene priorizarlas por delante de elementos con mayor puntuación pero sin explotación conocida.
¿Es la IA la responsable del volumen récord de parches?
En parte. Microsoft ha confirmado que opera un sistema de descubrimiento de vulnerabilidades con IA, y otros fabricantes atribuyen sus propios aumentos a herramientas similares. La autoría concreta de cada CVE no se publica, de modo que la respuesta honesta es que la investigación asistida por IA es un factor principal, no la causa única.
