La semana la dominó el Patch Tuesday de octubre, el más grande de la historia de Microsoft: más de 1.400 vulnerabilidades corregidas en un solo lote, con un zero-day explotado en Windows que CISA mandó a parchear en tres días.
En paralelo, la Unidad de Delitos Digitales de Microsoft y la policía de Japón voltearon la infraestructura detrás de más de mil millones de mensajes de phishing, y Microsoft anunció que Copilot se va a poder comprar sin una suscripción base de Microsoft 365.
Si administrás Windows, Exchange u Office, esta semana te toca a vos. Si trabajás con GitHub, hay herramientas nuevas de supply chain que vale la pena activar.
🔒 Seguridad y parches
Patch Tuesday: sí, son más de 1.400
La cifra parece exagerada, pero es real. El lote que Microsoft publicó el martes 13 de octubre corrige entre 1.407 y 1.411 vulnerabilidades, según quién cuente: Tenable contabiliza 1.407 y BleepingComputer 1.411, sin sumar otras 348 corregidas más temprano en el mes en servicios cloud.
En los datos crudos de la Security Update Guide, el mes de octubre ya acumula 1.456 CVE asignados por Microsoft. Si se suman los componentes de terceros que Microsoft redistribuye (Chromium en Edge, el kernel de Linux en Azure Linux, Apache y otros), el documento oficial supera los 2.100 registros.
Para dimensionarlo: en octubre de 2025 fueron menos de 200, y el récord anual anterior era de 1.261 CVE en todo 2020. Septiembre ya había rondado los 1.000. Según Satnam Narang, de Tenable, en lo que va de 2026 se cruzó la marca de 4.000 CVE con dos meses por delante.
El reparto por tipo, según BleepingComputer:
- 677 de elevación de privilegios.
- 317 de ejecución remota de código.
- 254 de divulgación de información.
- 73 de denegación de servicio, 40 de evasión de controles de seguridad y 28 de suplantación.
Entre 69 y 70 son críticas, según el conteo. La explicación del volumen es la investigación asistida por IA: cada vez más fallas se encuentran con modelos de lenguaje, y eso se traduce en lotes que ningún equipo puede revisar uno por uno.
El zero-day: CVE-2026-96951 en Windows Shell
CVE-2026-96951 es una falla de inyección de comandos en Windows Shell (CVSS 8.8, «Importante») que permite evadir Mark of the Web, la marca que Windows le pone a los archivos bajados de internet o recibidos por correo para mostrar advertencias y aplicar bloqueos.
El ataque requiere ingeniería social: el atacante manda por mail o mensajería un archivo armado y consigue que la víctima lo abra sin las advertencias de seguridad. Afecta a Windows 10, Windows 11 y Windows Server.
Microsoft la marca como explotada activamente. CISA la sumó a su catálogo de vulnerabilidades explotadas (KEV) el mismo 13 de octubre con plazo de remediación al 16 de octubre para las agencias federales de Estados Unidos. Entre los investigadores acreditados figura uno que trabajó con Claude, el modelo de Anthropic.
Los dos zero-days divulgados
Además hay dos fallas que se hicieron públicas antes del parche, sin explotación conocida:
CVE-2026-108398, en .NET Framework (CVSS 8.8): permite saltear Windows Defender Application Control (WDAC, el control que decide qué código puede ejecutarse) registrando un ensamblado malicioso que carga un proceso protegido. La reportó James Forshaw, de Google Project Zero.CVE-2026-92707, una denegación de servicio en la biblioteca MessagePack-CSharp (CVSS 5.3, «Moderada»).
Las críticas que hay que mirar primero
- Outlook: varias ejecuciones remotas con CVSS 9.8 (por ejemplo
CVE-2026-70242) que se disparan con solo ver el mensaje en el panel de lectura, sin abrirlo ni hacer clic. - Word:
CVE-2026-70300(CVSS 9.8), también explotable desde el panel de vista previa. - Exchange Server:
CVE-2026-70571(CVSS 8.1), ejecución de código sin autenticación con un mail armado que dispara la conversión interna de contenido. - Active Directory Domain Services:
CVE-2026-70229(CVSS 8.1), ejecución remota con un paquete armado. Microsoft la marca como de explotación «más probable». - Azure:
CVE-2026-77900en App Service (CVSS 9.8) yCVE-2026-69435en Azure SRE Agent (CVSS 9.6), corregidas del lado de Microsoft.
«Cohortes de riesgo»: la propuesta de Microsoft para no ahogarse
El MSRC publicó junto con el lote una propuesta experimental: agrupar las CVE en 15 «cohortes de riesgo» que comparten la misma pregunta sobre tu entorno (por ejemplo, «¿tengo RDP expuesto?»), para responderla una vez y no 65.
Las más grandes son sistemas de archivos y backup de Windows (136 CVE), clientes de Office y correo (135) y procesamiento gráfico y multimedia (131). Microsoft aclara que no son una categoría oficial, que no aparecen en la Security Update Guide y que no reemplazan priorizar por explotación activa y severidad.
Microsoft y Japón desarman una fábrica de phishing
El 14 de octubre, la Unidad de Delitos Digitales de Microsoft y Health-ISAC, con una orden de un tribunal federal de Florida, incautaron los dominios de tres servicios: el mercado YAM Store y los kits de phishing CoGUI e Iron Man. La investigación arrancó con un aviso de la Agencia Nacional de Policía de Japón.
Según Microsoft, desde enero de 2026 esa infraestructura habilitó más de mil millones de mails y SMS de phishing contra más de 75.000 organizaciones. YAM Store revendía tenants robados de Microsoft 365 y Azure; Iron Man ofrecía más de 2.300 plantillas que imitan bancos, organismos públicos y empresas de envíos.
Microsoft desactivó más de 20.000 cuentas y bloqueó 100.000 dominios. Para defenderse, recomienda MFA resistente al phishing (llaves de acceso o passkeys) vía Acceso Condicional y entrenar a los usuarios contra el device code phishing, el engaño que hace ingresar un código de dispositivo en una página legítima de Microsoft para regalar el token.
🪟 Windows y Microsoft 365
Fin de soporte para Windows 11 24H2 Home y Pro
El parche de octubre fue el último para estas versiones:
- Windows 11 24H2 Home y Pro (Enterprise y Education siguen hasta el 12 de octubre de 2027).
- Windows 10 Enterprise LTSB 2016.
- Office, Project y Visio LTSC 2021.
Microsoft recomienda pasar a Windows 11 25H2 o 26H2. Windows 11 23H2 Enterprise y Education dejan de recibir parches el mes que viene.
Copilot sin licencia base de Microsoft 365
Desde el 1 de diciembre, Microsoft 365 Copilot y Copilot Business se van a poder comprar sin una suscripción base de Microsoft 365, al mismo precio que hoy. Desde el 16 de octubre, las ofertas actuales pasan a llamarse «(add-on)».
Si tenés scripts o automatizaciones de licencias que buscan las ofertas por nombre, cambialos para que usen los identificadores de producto y SKU.
🧑💻 Para devs: GitHub
Lockfiles para GitHub Actions
En vista previa pública desde el 14 de octubre: la extensión gh actions-lock genera .github/workflows/actions.lock, que fija el commit exacto de cada acción, sus dependencias transitivas y los workflows reutilizables.
Así, si alguien mueve un tag de una acción comprometida, tu pipeline sigue ejecutando lo que revisaste. Los administradores pueden exigirlo con la política «Require lockfile», y Dependabot actualiza el lockfile en el mismo pull request.
Autofix agéntico y AI Scan, disponibles para todos
- Autofix agéntico: asignás una alerta de code scanning a Copilot, que explora el código, propone el arreglo, vuelve a correr CodeQL para confirmar que la alerta se cierra y abre un pull request en borrador. Hasta 25 alertas por PR. Reemplaza al botón gratuito «Generate fix».
- AI Scan para pull requests: busca vulnerabilidades donde CodeQL no llega (PHP, Bash, Terraform, Dockerfiles, Blazor). Es gratis en repos públicos y no bloquea merges.
🧩 Más novedades de la semana
- Azure: disponibilidad general de Standard service endpoint (familia Private Link) y del balanceo automático de zonas en VM Scale Sets.
- Azure: gestión externa de claves para Key Vault Managed HSM y logs de auditoría por hardware en Azure Cloud HSM, ya disponibles.
- Azure Site Recovery ya protege servidores VMware y físicos con Windows habilitados con Azure Arc.
- GitHub: el cumplimiento de licencias open source pasa a disponibilidad general en Enterprise Cloud.
- GitHub Copilot suma Gemini 4 Argon y retira Claude Opus 4.8, Claude Opus 5 y GPT-5.6 Terra el 16 de noviembre.
- Copilot en Slack y Teams ya trabaja con varios repositorios en una misma conversación.
¿Cómo se prioriza un mes con 1.400 parches?
Con este volumen, testear todo antes de desplegar deja de ser viable. ¿Ustedes cómo arman la prioridad: KEV primero, cohortes, panel de lectura de Outlook? Te leemos en los comentarios.
Fuentes
- MSRC: Using risk cohorts to prioritize security updates
- Microsoft Security Update Guide: October 2026 Security Updates
- CISA: Known Exploited Vulnerabilities Catalog
- Microsoft Security Update Guide: CVE-2026-96951 (Windows Shell)
- Microsoft Security Update Guide: CVE-2026-108398 (.NET Framework)
- Microsoft Security Update Guide: CVE-2026-92707 (MessagePack-CSharp)
- Microsoft Security Update Guide: CVE-2026-70242 (Outlook)
- Microsoft Security Update Guide: CVE-2026-70300 (Word)
- Microsoft Security Update Guide: CVE-2026-70571 (Exchange Server)
- Microsoft Security Update Guide: CVE-2026-70229 (Active Directory Domain Services)
- Microsoft Security Update Guide: CVE-2026-77900 (Azure App Service)
- Microsoft Security Update Guide: CVE-2026-69435 (Azure SRE Agent)
- Microsoft Security Blog: The hidden network inside the phishing infrastructure ecosystem
- Microsoft Learn: Windows 11, version 24H2 known issues and notifications
- Microsoft Learn: Partner Center announcements, October 2026
- GitHub Changelog: GitHub Actions workflow lockfiles in public preview
- GitHub Changelog: Agentic autofix for code scanning alerts
- GitHub Changelog: AI Scan for pull requests generally available
- GitHub Changelog: Gemini 4 Argon in GitHub Copilot
- GitHub Changelog: Upcoming deprecation of selected GitHub Copilot models in mid-November
- GitHub Changelog: Open source license compliance generally available
- GitHub Changelog: Multi-repository support and other improvements for GitHub in Slack and Teams
- Azure Updates: Generally Available: Standard service endpoint
- Azure Updates: Generally Available: Automatic zone balance for Virtual Machine Scale Sets
- Azure Updates: Generally Available: External key management for Azure Key Vault Managed HSM
- Azure Updates: Generally Available: Azure Cloud HSM hardware audit logging
- Azure Updates: Generally Available: Azure Site Recovery support for Azure Arc-enabled Windows VMware/physical servers
- Tenable: Microsoft’s October 2026 Patch Tuesday addresses 1,407 CVEs
- BleepingComputer: Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days
- Krebs on Security: Microsoft patches more than 1,400 security flaws
- BleepingComputer: Global takedown hits network behind 1 billion phishing messages
