Si tu empresa usa Windows, instala la actualización de octubre de 2026 esta semana en lugar de esperar al ciclo habitual. El 13 de octubre de 2026, Microsoft publicó la mayor actualización de seguridad de su historia, que corrige más de 1.400 vulnerabilidades, entre ellas una que los atacantes ya están explotando (CVE-2026-96951), calificada con 8,8 sobre 10. Hace que Windows trate un archivo llegado de internet o por correo electrónico como si lo hubiera creado tu empleado, de modo que la advertencia que normalmente aparece antes de abrirlo nunca se muestra. El Centro Nacional de Ciberseguridad de Arabia Saudí (Saudi CERT) emitió ese mismo día una alerta crítica en la que recomienda actualizar los productos afectados. Hay una sola solución: instalar la actualización de octubre, que en Windows 11 (24H2, 25H2 y 26H2) es KB5127648.

¿Qué cambió este mes?

Microsoft publica sus actualizaciones de seguridad el segundo martes de cada mes, conocido como Patch Tuesday. La entrega de octubre es distinta por su tamaño: la Zero Day Initiative contabilizó 1.415 CVE nuevas, el primer total mensual de cuatro cifras que ha visto jamás y más que toda la producción de Microsoft en 2023, que fue de 914. Las cifras varían ligeramente entre quienes las rastrean: Tenable contó 1.407, de las cuales 69 están calificadas como críticas. La razón, según explica la Zero Day Initiative, es que las herramientas de IA encuentran ahora vulnerabilidades más rápido que antes, tanto del lado defensivo como del ofensivo.

La cifra importa menos que la falla concreta que se está explotando ahora mismo. Las demás tardan un tiempo antes de que alguien las convierta en armas; esta ya se usaba antes de que saliera la corrección.

¿Qué tan grave es la falla explotada para una pequeña o mediana empresa?

Cuando un empleado descarga un archivo o abre un adjunto de correo, Windows lo etiqueta con una marca llamada Mark of the Web, que indica que vino de fuera. Esa etiqueta es la razón por la que Office abre el archivo en Vista protegida y por la que Windows avisa antes de ejecutar un programa descargado. CVE-2026-96951 permite que un archivo manipulado pierda esa etiqueta, así que Windows lo trata como local y se abre sin ninguna advertencia.

Según Tenable, la explotación se basa en la ingeniería social: un correo o mensaje que convence al empleado de abrir el archivo. El escenario habitual en nuestro mercado encaja exactamente: una "factura" o una "cotización" llega al contador, que la abre sin ningún aviso que lo detenga. Tenable señala que es la tercera falla de Windows Shell explotada en la práctica en 2026, después de las de febrero y abril.

La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) la añadió a su catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities) el 13 de octubre y dio a las agencias federales estadounidenses hasta el 16 de octubre de 2026 para corregirla: tres días. Ese plazo tan corto muestra la seriedad con que se trata.

¿Qué equipos están afectados y cuál es el número de actualización de cada uno?

Según la entrada de la Guía de actualizaciones de seguridad de Microsoft sobre la falla, la corrección está disponible para todas las versiones de Windows con soporte:

  • Windows 11 versiones 24H2, 25H2 y 26H2: KB5127648.
  • Windows 11 versión 23H2: KB5126653.
  • Windows Server 2025: KB5126646; Windows Server 2022: KB5126655; Windows Server 2019: KB5126651.
  • Windows Server 2016: KB5126868; Windows Server 2012 R2: KB5126836.

Un equipo al que no se le ofrece la actualización suele haberse quedado fuera de soporte. Los PC con Windows 11 24H2 Pro llegaron al fin de soporte el 13 de octubre, tema que tratamos en el fin de soporte de Windows 11 24H2. Si todavía tienes equipos con Windows 10, consulta la fecha límite del fin de soporte de Windows 10 para empresas.

Qué hacer esta semana: cinco pasos

  1. Instala la actualización hoy: Configuración, luego Windows Update, luego reinicia. La actualización no está completa hasta que el equipo se reinicia.
  2. Empieza por los equipos más expuestos: contabilidad, compras y atención al cliente, los PC que reciben adjuntos externos todos los días.
  3. No olvides los servidores: la Zero Day Initiative señala 59 vulnerabilidades con capacidad de gusano (wormable) en la entrega, que no requieren inicio de sesión ni acción del usuario, en componentes como DHCP Server y Remote Desktop Gateway. La misma entrega corrige fallas críticas en Outlook, Excel, Exchange, SharePoint y SQL Server.
  4. Comprueba que cada equipo la haya instalado realmente: no te conformes con "las actualizaciones son automáticas". Pide a tu responsable de TI una lista de los equipos en los que la actualización no se ha completado.
  5. Avisa a tu personal: basta un mensaje breve: no abras un adjunto que no esperabas, aunque no aparezca ninguna advertencia, y llama al remitente para confirmarlo.

¿Bastan las actualizaciones automáticas?

Rara vez. Muchas empresas tienen PC que no se han reiniciado en semanas, equipos en los que se pausaron las actualizaciones porque un programa antiguo dejó de funcionar una vez, y servidores que nadie actualiza porque "funcionan". Por eso la alerta de Saudi CERT pide a las organizaciones que actualicen los productos afectados, no solo que activen las actualizaciones. Con una entrega de más de 1.400 correcciones, un equipo con un mes de retraso se convierte en una puerta abierta a toda tu red.

La visión de Origami

Esta entrega marca un cambio duradero: la IA acelera el descubrimiento de vulnerabilidades, así que las actualizaciones mensuales seguirán creciendo y el tiempo entre la divulgación y la explotación seguirá reduciéndose. Una empresa que aplica parches "cuando alguien se acuerda" siempre irá por detrás. Es mejor tener un calendario fijo: actualizaciones críticas en 72 horas, el resto en dos semanas, y un informe mensual que demuestre que cada PC y cada servidor están al día. En Origami construimos sistemas y servidores para nuestros clientes con este seguimiento desde el primer día. Si quieres que revisemos los PC o servidores de tu empresa, ponte en contacto.

Fuentes