La semana tuvo un parche fuera de ciclo que no conviene dejar para el Patch Tuesday: Exchange Server on-premises recibió el 2 de octubre una actualización de emergencia por CVE-2026-96940, una falla que deja a un usuario autenticado leer buzones ajenos dentro de la misma organización.
En paralelo, Symantec documentó al ransomware Warlock entrando por SharePoint sin parchear a un operador de agua y a una telco, con foco en países de habla hispana y portuguesa (América Latina incluida). Y Microsoft publicó su Digital Defense Report 2026, con una conclusión incómoda: en el corto plazo, los atacantes sacan más provecho de la IA que los defensores.
Para devs, lo urgente es un cambio de formato en los tokens de GitHub App que puede romper integraciones.
🔒 Seguridad y parches
Exchange Server: parche fuera de ciclo para leer buzones ajenos
CVE-2026-96940 es una elevación de privilegios por autorización débil, con CVSS 8.8 y severidad «Importante». Un atacante con credenciales válidas puede acceder a los buzones (correos y adjuntos) de otros usuarios de la misma organización, aunque no cruza los límites entre tenants.
Microsoft la encontró internamente y dice no tener constancia de explotación, pero la clasifica como «explotación más probable». No figura en el catálogo KEV de CISA (vulnerabilidades explotadas conocidas).
La corrección salió como «September 2026 V2», una reedición de la actualización de septiembre cuya única diferencia es este CVE. Microsoft admitió que salió «antes de lo previsto», sin artículo de KB. Las versiones afectadas son:
- Exchange Server Subscription Edition RTM.
- Exchange Server 2019 CU14 y CU15.
- Exchange Server 2016 CU23.
Exchange Online ya está corregido. En híbridos hay que instalarla igual en los Exchange on-premises (incluso los de administración) y en las estaciones con las Exchange Management Tools.
Antes de instalar, tené en cuenta:
- Para 2016 y 2019 (ya sin soporte) el parche solo se descarga con el programa de actualizaciones extendidas (ESU) Period 2, que cubre hasta octubre de 2026.
- Los links de calendarios publicados (
.ics) devuelven HTTP 500 después de instalarla. - Un bloqueo de ContentEngine afecta a buzones con correo en coreano.
Warlock entra por SharePoint a servicios críticos
Symantec y Carbon Black (Broadcom) publicaron el 1 de octubre la reconstrucción de ataques del grupo de ransomware Warlock, vinculado a China, contra una empresa de agua, una telco, un organismo de gobierno regional y una universidad. En los últimos dos meses el grupo apuntó sobre todo a países de habla hispana y portuguesa de Europa, África y América Latina.
El acceso inicial fue SharePoint on-premises con la cadena ToolShell (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 y CVE-2025-53771), parcheada desde julio de 2025. Después:
- Un «EDR killer» (una herramienta que apaga el antivirus y el EDR) desplegado en al menos 40 equipos en unas dos horas con un driver legítimo pero vulnerable (BYOVD).
- El ransomware dejado en el recurso
SYSVOLdel dominio, para ejecutarlo por script de inicio de sesión o GPO. - VS Code Insiders instalado como servicio para tener acceso remoto con su función de túneles.
- NetExec para enumerar Active Directory y probar credenciales.
Cifraron al menos 33 equipos. Si tenés SharePoint on-premises expuesto, verificá los parches y buscá túneles de VS Code no autorizados.
🤖 IA y seguridad
Digital Defense Report 2026: los atacantes llegaron primero
El informe anual de Microsoft, publicado el 1 de octubre, cubre de julio de 2025 a junio de 2026. Su tesis: la IA acelera el descubrimiento de vulnerabilidades, el malware y el movimiento posterior a la intrusión, y en el corto plazo eso favorece al atacante (aunque la mayoría de las campañas sigue con dirección humana). Los números:
- Entre que una vulnerabilidad aparece en el mundo real y se convierte en arma pasan «bastante menos de 24 horas».
- El phishing fue el punto de entrada del 23% de las intrusiones observadas, contra 7% en 2025.
- El 52,2% de las intrusiones con cuentas válidas derivó en más robo de credenciales.
- Gobierno fue el sector más afectado, con el 27% de la actividad (17% el año anterior).
- Los CVE publicados en 2026 se proyectan en un récord de 72.000.
Microsoft advierte que el descubrimiento va más rápido que la remediación, así que espera «un período de varios años» con más vulnerabilidades conocidas y sin parchear.
ThinkingBox: el agente dice que terminó, la base de datos dice otra cosa
Microsoft y Hugging Face publicaron el 3 de octubre ThinkingBox, un benchmark de 507 flujos de negocio que evalúa a los agentes de IA por el estado que dejan en los sistemas, no por lo que responden.
El dato central: en el 67,24% de casi 80.000 intentos fallidos, el agente terminó prolijo, llamó a la herramienta y no reportó error, pero el registro tenía valores incorrectos. Código MIT, dataset en Hugging Face.
Microsoft recorta el uso interno de Claude
Según reportó The Information, Microsoft redujo en más de un tercio su gasto en Claude y, en la división de nube, bajó el presupuesto mensual por empleado de 100.000 a unos 10.000 dólares. La indicación interna fue usar GitHub Copilot y modelos de OpenAI; Microsoft no hizo comentarios oficiales.
🧑💻 Para devs: GitHub
Stacked pull requests, en disponibilidad general
Desde el 6 de octubre, todos los planes de github.com pueden partir un cambio grande en pull requests dependientes que se revisan por separado y se mergean juntos (GitHub Enterprise Server llega en una versión próxima). Hay extensión gh stack para la CLI y el rebase conserva las aprobaciones del código que no cambió.
Copilot ya puede manejar aplicaciones de escritorio
En vista previa pública, Copilot CLI y la app de Copilot pueden leer la pantalla, hacer clic, tipear y arrastrar en Windows y macOS («computer use»). Pide aprobación antes de tomar control de cada app y las organizaciones pueden deshabilitarlo por política.
Tokens de GitHub App de ~520 caracteres: revisá tus integraciones
GitHub completó el 2 de octubre el cambio al formato «stateless» de los tokens de instalación de GitHub App. Siguen empezando con ghs_, pero pasaron de 40 a unos 520 caracteres. Revisá:
- Validaciones que esperan exactamente 40 caracteres.
- Columnas, bóvedas de secretos o variables con largo máximo chico.
- Proxies o gateways que corten encabezados
Authorizationlargos. - Reglas de enmascarado de secretos en logs.
El encabezado de prueba X-GitHub-Stateless-S2S-Token queda deprecado el 30 de noviembre.
npm endurece el trusted publishing
Las configuraciones de trusted publishing (publicar desde CI sin tokens de larga vida) que no se validen con una publicación exitosa ahora vencen a las 48 horas. Además, npm rechaza tokens emitidos desde eventos issue_comment de GitHub Actions: si publicás así, pasá a push, release o workflow_dispatch.
🧩 Más novedades de la semana
- Ryan Roslansky, vicepresidente ejecutivo de LinkedIn y Microsoft 365, deja Microsoft a fin de año; Sumit Chauhan y Lan Ye pasan a reportar a Charles Lamanna, y la conducción de LinkedIn, directo a Satya Nadella.
- Microsoft Threat Intelligence documentó la explotación de
CVE-2026-73570en Zimbra (corregida en 10.1.20), con detecciones para Defender for Endpoint en Linux. - Copilot code review ahora se puede pedir por API, y desde el 28 de septiembre el nivel por defecto pasó de «Lite» a «Balanced».
- GitHub separó almacenamiento y cómputo de su infraestructura Git para aguantar la carga de los agentes: 7.380 millones de commits en septiembre, más de cinco veces que un año antes.
- GitHub Copilot deprecó Claude Opus 4.7, Gemini 3.5 Flash, Gemini 3.6 Flash y Kimi K2.7 Code; los admins quizás tengan que habilitar los reemplazos en las políticas de modelos.
- El runner
macos-14de GitHub Actions se retira el 2 de noviembre, con cortes programados durante octubre. - Flujos dinámicos en vista previa en Copilot CLI y la app de Copilot, para todos los planes.
- Secret scanning suma detectores para Lovable, Supabase y Pydantic Logfire.
- GitHub presentó ReviewBench, un benchmark abierto de revisión de código con 219 pull requests de 187 repos.
- Microsoft Ignite 2026 será del 17 al 20 de noviembre en San Francisco, con opción online.
¿Cuántos días tarda tu Exchange en recibir un parche?
Un parche fuera de ciclo para Exchange y un ransomware que entra por fallas de SharePoint de 2025 cuentan lo mismo que el Digital Defense Report: la explotación se mide en horas y el parcheo, en semanas.
¿Ya instalaron la V2 de septiembre en sus Exchange, incluidos los de administración? Te leemos en los comentarios.
Fuentes
- Exchange Team Blog: Released September 2026 V2 Exchange Server Security Updates
- Help Net Security: Out-of-band Exchange Server update fixes high-severity mailbox access bug
- BleepingComputer: Warlock ransomware breaches SharePoint in water, telecom operator attacks
- Symantec Threat Hunter Team: Warlock Ransomware Attackers Hit Water and Telecom Operators
- Microsoft Security Blog: Tracking CVE-2026-73570
- Microsoft Security Blog: Insights from the 2026 Microsoft Digital Defense Report
- Microsoft On the Issues: Preparing governments for an era of interconnected cyber risk
- BleepingComputer: Microsoft says threat actors are ahead in the early AI race
- Hugging Face Blog: ThinkingBox
- The Decoder: Meta and Microsoft pull back from Claude
- GitHub Changelog: Stacked pull requests generally available
- GitHub Changelog: GitHub Copilot can now interact with desktop apps with computer use
- GitHub Changelog: Stateless GitHub App installation tokens rolled out
- GitHub Changelog: Unvalidated npm trusted publishing configurations now expire
- GitHub Changelog: Copilot code review API support and new default effort level
- GitHub Blog: Building Git infrastructure for agent-scale development
- Official Microsoft Blog: Microsoft 365 and LinkedIn leadership update
- GitHub Changelog: Selected models in GitHub Copilot deprecated
- GitHub Changelog: macOS 14 runner image retirement
- GitHub Changelog: Dynamic workflows in Copilot CLI and the Copilot app
- GitHub Changelog: Secret scanning adds detectors for Lovable, Supabase, and more
- GitHub Blog: ReviewBench, an open benchmark for AI code review
- Microsoft Security Blog: Your guide to Microsoft Security at Microsoft Ignite 2026
