El Patch Tuesday de octubre de 2026 trajo 1.413 vulnerabilidades corregidas, la primera vez que Microsoft supera las 1.000 en un mes. Según Zero Day Initiative, la cifra es mayor que el total de cualquier año previo de la empresa. La pregunta para un equipo de TI ya no es «¿parcheamos?» sino «¿en qué orden?».
Las cifras del mes
Las fuentes difieren por unidades: Guru3D y TechSpot citan 1.413; Security Affairs, 1.415. Usamos 1.413, el dato más repetido.
Dustin Childs, de ZDI, comentó que es el primer Patch Tuesday con más de 1.000 vulnerabilidades y que no le gusta «esta nueva normalidad». Para dimensionarlo: según TechRadar, septiembre ya había traído casi mil.
Por qué crece: el descubrimiento con LLM
La cobertura vincula la subida con que Microsoft empezó a usar modelos de lenguaje para escanear su propio código. El punto lo resumen bien los medios: el volumen refleja lo buenos que se volvieron las herramientas encontrando errores, no necesariamente cuántos de esos errores son un riesgo real. Ninguna fuente que consulté desglosa cuántas de las 1.413 fueron halladas con IA, así que esa atribución es del contexto, no un número verificado.
Esto conecta con el informe de GTIG sobre vulnerabilidades halladas por IA, que ya cubrimos: los mismos modelos que usan los defensores los usan los atacantes, y los atacantes explotan rápido. Hay que decir también que, según Security Affairs, las vulnerabilidades se siguen descubriendo más rápido de lo que se explotan.
Qué priorizar
Un solo bug está bajo ataque activo: CVE-2026-96951, una omisión de la función de seguridad de Windows Shell (Mark of the Web) que requiere que el usuario abra un enlace o adjunto. Otro, CVE-2026-108398 en .NET, tiene detalles públicos. Entre lo destacado también están una falla de SharePoint Server (CVE-2026-102866, CVSS 8.1, elevación de privilegios sin autenticar) y una de SQL Server (CVE-2026-65674, CVSS 8.8, deserialización). Las 59 wormables merecen atención por su potencial de propagación.
Microsoft presentó además «risk cohorts», una agrupación experimental de fallas relacionadas para facilitar la triage, aclarando que agrupar no indica severidad.