Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug
The Hacker News · 14 oct, 06:34
Qué hacer: Aplica los parches de seguridad de October 2026 Patch Tuesday, priorizando CVE-2026-96951 y CVE-2026-108398; agencias federales deben hacerlo antes del 16 de octubre.
Microsoft ha publicado 1.413 parches en su Patch Tuesday de octubre, rompiendo su propio récord, entre ellos para una vulnerabilidad de command injection en Windows Shell (CVE-2026-96951) que se está explotando activamente en el wild. Además de 1.102 flaws en Windows, se incluyen 134 en Office, 61 en Developer Tools, 36 en SharePoint Server y 22 en SQL Server, con más de 670 relacionadas con escalada de privilegios y más de 300 con ejecución remota de código.
La vulnerabilidad más crítica es CVE-2026-96951 (CVSS 8.8), un fallo de command injection en Windows Shell que permite a atacantes no autorizados eludir las defensas de Mark of the Web (MOTW) a través de la red. El ataque requiere que el usuario interactúe con un archivo especialmente elaborado enviado por correo o mensaje instantáneo. Microsoft ha añadido este CVE al catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, requiriendo a agencias federales aplicar los parches antes del 16 de octubre.
Otra vulnerabilidad notable es CVE-2026-108398 (CVSS 8.8), un fallo de untrusted search path en .NET Framework que permite a atacantes autenticados eludir Windows Defender Application Control (WDAC) y ejecutar aplicaciones no autorizadas sin interacción del usuario. CVE-2026-92707 (CVSS 5.3) es una vulnerabilidad de denegación de servicio en MessagePack-CSharp. Microsoft ha introducido "risk cohorts" para ayudar a las organizaciones a priorizar las actualizaciones agrupando CVEs relacionados.
Puntos clave
- CVE-2026-96951 (CVSS 8.8): command injection en Windows Shell, explotado activamente, requiere interacción del usuario
- CVE-2026-108398 (CVSS 8.8): elusión de WDAC en .NET Framework, no requiere interacción del usuario, riesgo post-compromiso
- Aplicar parches antes del 16 de octubre según requerimiento de CISA para agencias federales
- Más de 670 flaws de escalada de privilegios, 300+ de ejecución remota de código, 70+ críticos
- Microsoft introduce "risk cohorts" para priorizar parches agrupando CVEs relacionados