El lote Microsoft del 13 de octubre de 2026 supera 1.400 correcciones, no igual número de emergencias equivalentes. Una falla Windows Shell recién corregida ya se explotaba. Es la distinción más clara.
Los recuentos van de 1.407 a 1.415 por productos, arreglos previos y momento. Septiembre rondó mil. Las fuentes asocian parte del aumento a automatización e IA, sin medir contribución exacta.
Inventarios, compatibilidad, ventanas y verificación deciden aún cuándo un hallazgo protege. No escalan igual que descubrir.
Cifras distintas, escala común
ZDI contó 1.415 CVE nuevos; Rapid7 1.413, con 1.102 Windows. Otros 1.407, 1.409 y 1.411. Nube, componentes y arreglos previos cambian metodología, necesaria para precisión.
Domina Windows, pero incluye Office, SharePoint, Exchange, .NET, SQL Server, desarrollo y Azure. CrowdStrike indicó 75 Critical y tres zero-day. Zero-day no es explotación activa: una falla nueva corregida tenía ataques confirmados.
Risk cohorts agrupa relacionadas, sin sustituir revisión CVE o instrucciones. No determina instalación, alcance o importancia de una empresa.
Incluso sin ataque hay que probar identidad, red, remoto y apps. Problemas de septiembre con Remote Desktop, audio y archivos virtualizados justifican pruebas, no ignorar explotación.
Windows Shell tiene otra urgencia
CVE-2026-96951 es bypass de seguridad 8,8 en clientes y servidores soportados, incluidos Windows 10 y 11. Investigadores describen Mark of the Web, metadato de origen externo que activa avisos.
Eliminar barrera ayuda anexos y descargas maliciosas, pero no compromete automáticamente por sí sola. Actor, extensión y cargas siguientes no estaban descritos por completo al publicar.
La explotación observada plantea una urgencia diferente de una puntuación hipotética de 9,8. CVSS describe características técnicas bajo un modelo estandarizado, pero no mide si los atacantes disponen de herramientas funcionales, si el componente es alcanzable ni el valor de los datos y permisos del equipo. Los archivos descargados y los adjuntos ofrecen una ruta realista incluso hacia terminales que no exponen un servicio público.
Administradores, desarrolladores, finanzas y directivos pueden tener permisos valiosos. Controles de terminales, anexos y aplicaciones ayudan mientras se instala, sin probar parche innecesario ni ausencia de actividad previa.
KEV registra ataques observados. Plazos federales afectan agencias cubiertas, no automáticamente empresas. Tyler Reguly de Fortra citó 26 entradas Microsoft en 2026 para priorizar, no descartar el resto.
Descubrimiento supera remediación
Análisis estático, fuzzing y variantes escalan patrones. Fuzzing usa entradas anómalas; variantes busca fallas emparentadas. LLM ayuda revisión, pruebas y arreglo, con validación humana.
Krebs conecta crecimiento con LLM Microsoft. Los totales no separan defectos antiguos hallados antes, alcance, asignación CVE y divulgación. Un patrón genera varios identificadores.
ZDI reportó 15 zero-day hasta octubre 2026 contra 17 en igual periodo 2023, y 914 CVE en todo 2023. Un mes supera un año sin aumento proporcional de explotación observada.
Es visibilidad, no victoria. Atacantes comparan binarios y reconstruyen fallas. Más revisión prolonga divulgación a instalación. Una ruta expuesta útil basta.
Critical exige entorno
ZDI señaló 59 potencialmente propagables sin autenticación o interacción. No predice 59 gusanos globales; servicios pueden estar apagados o internos.
Incluye DHCP, NPS, Remote Desktop Gateway, DNS, TCP/IP e IIS. Message Queuing tiene ejecución remota 9,8 pero no está activado por defecto. Instalación y acceso no confiable cambian prioridad.
SharePoint CVE-2026-102866 es elevación Critical por firma con proof token válido del usuario objetivo. No equivale a red sin autenticación, pero afecta datos importantes.
Exchange, Office, AD, .NET y red varían con arquitectura. Solo nube difiere de correo propio antiguo. Algunos fallos cloud ya fueron resueltos por Microsoft sin despliegue cliente.
Retirar casos no aplicables no descuida seguridad. Distingue producto, alcance, permisos, interacción e impacto. Controles compensatorios dan tiempo de prueba, no inmunidad.
Exposición protegida, no tickets cerrados
Portátiles, servidores, industria y nube tienen dueños y plazos distintos. Escáneres duplican o mapean mal y reconciliar retrasa protección.
Anillos prueban grupos representativos, acelerando alto riesgo. Fallo y pendiente son distintos: reparación o cambio de app no es ventana. Excepciones necesitan responsable y vencimiento.
Un gran porcentaje puede esconder servidor expuesto o terminal privilegiado. Separar explotación, Critical alcanzables, activos sin soporte, errores y excepciones vencidas. Promedios esconden cola peligrosa.
Los siguientes indicios son ataques confirmados contra otras vulnerabilidades del lote, código de explotación utilizable y fiabilidad de los parches en sistemas representativos. Publicar código no demuestra una campaña amplia, pero reduce el tiempo y los conocimientos necesarios para probar servicios sin corregir. Revisiones de avisos Microsoft, entradas KEV, actividad de escaneo y telemetría propia pueden modificar la evaluación hecha el primer día.
Windows no es 1.400 veces peor, ni los otros son inocuos. Descubrimiento crece más que despliegue seguro. La prueba es protección efectiva con razones documentadas y vigilancia de retrasos.