El 13 de octubre Microsoft publicó su actualización mensual de seguridad más grande hasta la fecha. Entre más de 1.400 correcciones hay una que no admite espera: un fallo de Windows que ya se está usando en ataques reales. Te explicamos qué priorizar sin perderte en la lista.
Cada segundo martes de mes, Microsoft publica de una vez las correcciones de seguridad para sus productos. Es lo que se conoce como Patch Tuesday. La edición de octubre de 2026 ha batido todos los registros: más de 1.400 vulnerabilidades corregidas (el recuento varía ligeramente según la fuente), 70 de ellas calificadas como críticas.
Una cifra así puede generar dos reacciones igual de peligrosas: el pánico o la indiferencia. Ninguna ayuda. Lo útil es separar lo urgente de lo importante, y este mes esa separación está bastante clara.
Cada vulnerabilidad recibe un identificador público, el código CVE. La que debe ir primero en tu lista es la CVE-2026-96951, un fallo en el shell de Windows, la parte del sistema que gestiona el escritorio, las carpetas y la apertura de archivos.
Este fallo permite saltarse la «Marca de la web». Es el aviso que Windows muestra al abrir un archivo descargado de internet y la protección que activa controles adicionales sobre esos archivos. Cuando descargas un documento y Windows te pregunta si de verdad quieres abrirlo, o Word lo abre en vista protegida, esa marca está haciendo su trabajo.
Microsoft confirma que el fallo se ha usado en ataques reales, y la agencia estadounidense de ciberseguridad, CISA, lo ha incluido en su catálogo de vulnerabilidades explotadas. Ese catálogo es una referencia útil: lo que entra en él ha dejado de ser una posibilidad teórica.
En la práctica, abre la puerta a que un archivo malicioso recibido por correo o descargado de una web se ejecute sin las advertencias habituales. Imagina a alguien de administración que recibe una supuesta factura de un proveedor. Normalmente, Windows le frenaría con un aviso. Con este fallo, ese último freno desaparece.
El aviso que todos ignoramos a veces es, otras, lo único que se interpone entre un clic y un problema.
La actualización corrige también otros dos fallos que se conocían públicamente antes de su publicación:
No consta que se estén explotando, pero al ser públicos conviene no dejarlos para más adelante. Cuando los detalles de un fallo circulan, el tiempo que tarda alguien en aprovecharlo suele ser corto.
Este Patch Tuesday trae también una fecha de caducidad para algunos equipos:
Que un equipo tenga Windows 11 no garantiza que esté protegido. Cada versión anual tiene su propio periodo de soporte, y un portátil que lleva tiempo sin pasar a la siguiente puede quedarse fuera sin que nadie lo note.
Para saber qué versión tiene un equipo, basta con pulsar la tecla Windows, escribir «winver» y pulsar Intro. Si la ventana muestra 24H2 en un equipo Home o Pro, o 23H2 en uno Enterprise o Education, ese equipo necesita actualizarse de versión, no solo instalar el parche del mes.
Instalar parches no consiste solo en pulsar un botón. Hay que elegir el momento para no interrumpir a nadie, comprobar que todos los equipos los han recibido, incluidos los que pasan semanas fuera de la oficina, y vigilar que nada se rompa después. Hacerlo bien un mes es fácil. Hacerlo bien todos los meses requiere método.
En OLATIC aplicamos los parches mensuales a los equipos de nuestros clientes en ventanas controladas, comprobamos equipo a equipo que se han instalado y priorizamos los fallos explotados, como este de la «Marca de la web», en cuanto se publican.
YAM Store vendía cuentas robadas de Microsoft 365 y kits para engañar a usuarios en tiempo real, incluso para pedirles el código de verificación. Qué aprender de ello.
Las empresas españolas víctimas de ransomware crecieron un 19 % en un año, según Zscaler. Cómo entran hoy los atacantes y las cinco medidas que más reducen el riesgo.
Desde el 11 de septiembre, los fabricantes de software y productos conectados deben notificar las vulnerabilidades explotadas. ENISA estrena la plataforma y guías para pymes.
El calendario lo gestiona HubSpot. ¿No se ve bien? Ábrelo en una pestaña nueva
Detecta puntos débiles antes de que se conviertan en un incidente.
Te enviamos la checklist a . Si no la ves, mira en la carpeta de correo no deseado.
