Microsoft corrige dos zero-days explotados en su mayor Patch Tuesday
Microsoft publicó el 8 de septiembre de 2026 el mayor Patch Tuesday de su historia y corrigió dos vulnerabilidades de Windows que ya estaban siendo explotadas: CVE-2026-81963 y CVE-2026-85880. El recuento de BleepingComputer incluye 966 fallos publicados ese martes y describe ambos zero-days como elevaciones locales de privilegios capaces de conducir a permisos SYSTEM.
El lanzamiento de Microsoft del 8 de septiembre ya ofrece correcciones, pero no todos los equipos reciben los mismos paquetes. Las notas oficiales de septiembre son el inventario de referencia para cruzar cada CVE con el producto, la versión y la actualización aplicable; la primera prioridad son los sistemas alcanzados por cualquiera de los dos fallos explotados.
Qué permiten los dos zero-days explotados
CVE-2026-81963 afecta a Windows Update Stack. El fallo consiste en una resolución incorrecta de enlaces antes del acceso a archivos: un atacante autorizado que ya actúe localmente puede aprovecharlo para elevar sus privilegios. No es una vía de entrada remota por sí sola, sino una herramienta para ampliar el control después de conseguir acceso inicial.
CVE-2026-85880 reside en Windows Advanced Local Procedure Call (ALPC), el mecanismo de comunicación entre procesos de Windows. Un desbordamiento de búfer en el montón permite que un atacante con pocos privilegios y ejecución local alcance permisos superiores. Los dos fallos tienen una puntuación CVSS de 7,8, requieren privilegios bajos, no exigen interacción del usuario y están clasificados como importantes.
La calificación «importante» no neutraliza la señal de explotación activa. En una intrusión, pasar de una cuenta limitada a SYSTEM puede facilitar la desactivación de defensas, el acceso a datos protegidos o el establecimiento de persistencia. La corrección debe priorizarse por el uso real del fallo, no solo por la etiqueta de severidad.
Por qué los análisis cuentan 966 o 972 vulnerabilidades
Los dos totales proceden de perímetros de recuento distintos. BleepingComputer limita sus 966 fallos a las vulnerabilidades publicadas por Microsoft el propio Patch Tuesday y excluye 204 correcciones difundidas antes durante septiembre. Ese criterio evita sumar al titular mensual vulnerabilidades próximas en el calendario, aunque aparezcan en listados más amplios.
El análisis de CrowdStrike atribuye al lanzamiento 972 CVE, 113 de ellos críticos, y mantiene los mismos dos zero-days explotados. Sus categorías principales incluyen 437 elevaciones de privilegios, 258 ejecuciones remotas de código y 171 exposiciones de información.
Las publicaciones no ofrecen una conciliación CVE por CVE que permita asignar con certeza los seis registros de diferencia. Por tanto, 966 y 972 no deben tratarse como dos mediciones idénticas en conflicto: cada cifra refleja el alcance aplicado por quien la publica. Para desplegar parches, el dato operativo es si una combinación concreta de CVE, versión y paquete está presente en el entorno.
Una cola de parcheo basada en explotación y exposición
El primer anillo debe reunir los equipos para los que resulte aplicable la corrección de CVE-2026-81963 o CVE-2026-85880. Dentro de ese conjunto conviene adelantar estaciones administrativas, servidores y otros activos donde una cuenta limitada pueda convertirse en un acceso de alto privilegio con impacto sobre sistemas adicionales.
El segundo nivel corresponde a vulnerabilidades críticas de ejecución remota alcanzables por red y sin autenticación. El análisis de septiembre identifica al menos 17 CVE con esas condiciones en servicios de infraestructura como DNS, DHCP, Microsoft Message Queuing, NFS y SSTP. La exposición real decide el orden: un servicio accesible desde internet o desde segmentos poco confiables debe preceder a una instancia aislada del mismo producto.
Después entran las dependencias con mayor radio de impacto, como controladores de dominio, servicios de identidad y hosts de virtualización, seguidas por el resto de vulnerabilidades críticas y las clasificadas como importantes. Una secuencia operativa compacta queda así:
- Identificar los activos a los que se aplican los dos CVE explotados y actualizarlos en el primer anillo.
- Priorizar las ejecuciones remotas sin autenticación según la exposición de cada servicio.
- Adelantar sistemas de administración, identidad y virtualización por su alcance sobre otros activos.
- Completar las demás correcciones conforme a sus dependencias y ventanas de mantenimiento.
Las pruebas previas siguen siendo necesarias en entornos sensibles, pero deben tener un plazo definido. Tras el despliegue, el inventario debe confirmar la compilación instalada y los reinicios requeridos; una orden aceptada por la herramienta de gestión no demuestra por sí sola que el equipo haya quedado corregido.
Lo que todavía no se sabe de los ataques
No se han publicado detalles sobre las campañas que aprovecharon estas vulnerabilidades, su escala ni los objetivos afectados. Esa ausencia impide estimar cuántas organizaciones estuvieron expuestas, pero no modifica el estado confirmado: los dos fallos fueron explotados y sus correcciones están disponibles.
El parche bloquea nuevas explotaciones de esas vulnerabilidades, pero no elimina una intrusión previa ni la persistencia que un atacante pudiera haber establecido. Por eso la actualización debe ir acompañada, en los activos de mayor riesgo, de una revisión de accesos locales anómalos y elevaciones de privilegios anteriores a la instalación. Hasta que aparezca más información sobre las campañas, CVE-2026-81963 y CVE-2026-85880 deben permanecer al frente de la cola.
Lee también:
Suscríbete a nuestro boletín
Reciba las últimas noticias sobre Web3, IA y criptomonedas directamente en su bandeja de entrada.