El INCIBE-CERT ha difundido el boletín mensual de seguridad de Microsoft de octubre de 2026: 1.408 vulnerabilidades corregidas, de las que 78 son de severidad crítica.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica el boletín mensual de Microsoft con 1.408 vulnerabilidades corregidas.
- ¿Dónde y cuándo? Aviso INCIBE-2026-736, difundido el miércoles 14 de octubre de 2026; afecta a Windows, Office, Exchange, Edge, Defender y Azure.
- ¿Qué resultado? 78 fallos críticos y una explotación activa confirmada, la CVE-2026-96951.
El aviso, identificado como INCIBE-2026-736, detalla un paquete de actualizaciones que afecta a Windows, Microsoft Office —incluidos Excel, Word, Outlook, PowerPoint y Visio—, Microsoft SharePoint Server, Microsoft SQL Server, Microsoft Exchange Server, Microsoft Edge y Microsoft Defender, además de Microsoft Azure y las herramientas de desarrollo de la compañía. El INCIBE-CERT es el equipo de respuesta ante incidentes del Instituto Nacional de Ciberseguridad, el organismo público que canaliza en España las alertas tempranas de este tipo.
Según el desglose oficial, de las 1.408 vulnerabilidades publicadas, 78 son críticas, 1.329 son de severidad alta y una es de severidad media. En caso de ser explotadas, podrían permitir la ejecución remota de código, la elevación de privilegios, la suplantación de identidad, la divulgación de información, la elusión de funciones de seguridad o provocar una denegación de servicio (DoS).
Ejecución remota de código y una vulnerabilidad ya explotada
Microsoft ha confirmado la explotación activa de CVE-2026-96951, una vulnerabilidad de severidad alta que permite eludir una función de seguridad de Windows Shell. El INCIBE-CERT recomienda priorizar su corrección por delante del resto de parches del boletín.
Del total de fallos críticos, 65 vulnerabilidades podrían permitir la ejecución remota de código. Afectan, entre otros componentes, a Excel, Outlook, Word, PowerPoint, Visio, Exchange Server, Hyper-V, DHCP, los Servicios de Escritorio remoto, Windows Message Queuing, Windows Media Foundation, Windows PDF, HEVC Video Extensions, QUIC y Active Directory Domain Services, además de diversos controladores gráficos de Windows.
El INCIBE-CERT canaliza cada mes las alertas de Microsoft para que empresas y administraciones públicas apliquen los parches críticos antes de que los atacantes los exploten.
Otras 11 vulnerabilidades críticas permiten elevar privilegios y afectan al kernel de Windows, a Windows ALPC, al kernel gráfico de Windows, a Windows Hyper-V, a Microsoft SharePoint, al kernel de Linux y a los enclaves de seguridad basada en virtualización de Windows. A ellas se suman CVE-2026-96222 y CVE-2026-108131, que afectan a Active Directory Federation Services y podrían permitir la suplantación de identidad.
Windows Update y la gestión corporativa de los parches
La solución indicada por el INCIBE-CERT pasa por instalar las actualizaciones de octubre de 2026 mediante Windows Update, Microsoft Update o los mecanismos corporativos de gestión de actualizaciones. La entidad recomienda consultar la guía de actualizaciones de seguridad de Microsoft para identificar los parches aplicables a cada producto y versión.
En el ámbito empresarial, la prioridad es inequívoca: los sistemas afectados por CVE-2026-96951 deben actualizarse primero, dado que ya existe explotación activa. Los administradores de sistemas pueden cosultar el catálogo de vulnerabilidades explotadas conocidas para verificar el estado de este fallo.
El panorama de la ciberseguridad
El boletín mensual de Microsoft es una de las citas fijas del calendario de la ciberseguridad corporativa. La cifra de 1.408 vulnerabilidades en un solo mes ilustra la magnitud del reto al que se enfrentan las organizaciones españolas: mantener actualizados miles de equipos y servidores antes de que los atacantes exploten cualquier fallo sin corregir.
Los balances anuales del INCIBE sitúan por encima de los 100.000 los incidentes de ciberseguridad gestionados cada año en España, una tendencia sostenida al alza que convierte la disciplina de parcheo en la primera línea de defensa. El CCN-CERT, el equipo de respuesta ante incidentes del Centro Criptológico Nacional dependiente del CNI, complementa ese trabajo en el ámbito de las infraestructuras críticas y las administraciones públicas.
La explotación activa de CVE-2026-96951 confirma el patrón habitual de los últimos años: los atacantes actúan con rapidez sobre las vulnerabilidades divulgadas y las organizaciones que demoran la actualización amplían su ventana de exposición. El INCIBE-CERT mantiene activa la alerta y recomienda verificar la aplicación de los parches en los próximos días, además de revisar los sistemas que, por su antigüedad o configuración, no reciban actualizaciones automáticas.
