Microsoft da a conocer 126 vulnerabilidades en Windows, Office y SQL Server, 25 de ellas críticas y una ya explotada

Qué ha pasado

Microsoft ha dado a conocer el 13 de octubre de 2026 un total de 126 vulnerabilidades. La mayoría permiten ejecutar código de forma remota. Los productos más afectados son Microsoft Excel, con 50 fallos, y numerosos componentes de Windows.

Las 25 críticas obtienen puntuaciones CVSS de entre 9,3 y 9,8. Los datos disponibles no detallan las versiones afectadas ni las actualizaciones concretas de cada producto, que deben consultarse en la guía de actualizaciones de seguridad de Microsoft (MSRC).

Estado de la explotación

CISA incorporó CVE-2026-96951 a su catálogo KEV el 13 de octubre de 2026, lo que confirma que se está explotando activamente. Es un fallo de inyección de comandos en Windows Shell que permite a un atacante remoto, sin credenciales, saltarse una función de seguridad, aunque requiere que el usuario realice alguna acción. Su CVSS es de 8,8. CISA ha dado a las agencias federales de EE. UU. de plazo hasta el 16 de octubre para corregirlo; no consta si se ha usado en campañas de ransomware.

Para el resto de vulnerabilidades no consta explotación activa.

Las 25 vulnerabilidades críticas

Casi todas tienen un CVSS de 9,8 y, según su vector, se pueden explotar por red sin credenciales ni intervención del usuario. Destacan las de Outlook, IIS, iSCSI y LSASS por su exposición habitual.

• Outlook: CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016 y CVE-2026-97749.
• Word y PowerPoint: CVE-2026-70300 (Word) y CVE-2026-88178 (PowerPoint).
• Windows iSCSI: CVE-2026-69634, CVE-2026-69705 y CVE-2026-69883.
• Windows Text Shaping: CVE-2026-102210, CVE-2026-83770 y CVE-2026-97814. Windows Error Reporting: CVE-2026-83748 y CVE-2026-97815.
• Otros componentes de Windows: IIS (CVE-2026-70024), LSASS (CVE-2026-96219), OLE (CVE-2026-96924), Shell (CVE-2026-83782), PowerShell (CVE-2026-83578), System Information Console (CVE-2026-70157), controlador CCFFilter (CVE-2026-83780) y Partition Management Driver (CVE-2026-97805).
• Visual Studio Code: CVE-2026-102238 (CVSS 9,6), un fallo de path traversal que permite ejecutar código. Los datos proceden del aviso de Microsoft; NVD todavía no lo ha publicado.
• Exchange Server: CVE-2026-70279 (CVSS 9,3), un cross-site scripting que permite suplantación.

Resto de vulnerabilidades, de gravedad alta

Las 100 restantes tienen puntuaciones de entre 7,4 y 8,8. Predominan los desbordamientos de memoria y los fallos de tipo use after free que permiten ejecutar código, sobre todo al abrir documentos manipulados.

• Excel: CVE-2026-100209, CVE-2026-100210, CVE-2026-100211, CVE-2026-100212, CVE-2026-105718, CVE-2026-70254, CVE-2026-77902, CVE-2026-88145, CVE-2026-97003, CVE-2026-97004, CVE-2026-97007, CVE-2026-97008, CVE-2026-97010, CVE-2026-97011, CVE-2026-97017, CVE-2026-97738, CVE-2026-97739, CVE-2026-97741, CVE-2026-97742, CVE-2026-97745, CVE-2026-97746, CVE-2026-97747, CVE-2026-97748, CVE-2026-97750, CVE-2026-97751, CVE-2026-97752, CVE-2026-97753, CVE-2026-97754, CVE-2026-97755, CVE-2026-97756, CVE-2026-97757, CVE-2026-97758, CVE-2026-97759, CVE-2026-97761, CVE-2026-97762, CVE-2026-97763, CVE-2026-97765, CVE-2026-97766, CVE-2026-97767, CVE-2026-97768, CVE-2026-97769, CVE-2026-97770, CVE-2026-97771, CVE-2026-97772, CVE-2026-97773, CVE-2026-97775, CVE-2026-97776, CVE-2026-97777, CVE-2026-97778 y CVE-2026-97780.
• Word, Office y Visio: CVE-2026-70268, CVE-2026-70287, CVE-2026-70301, CVE-2026-70302, CVE-2026-83891, CVE-2026-88150, CVE-2026-88186, CVE-2026-88202, CVE-2026-88196, CVE-2026-88197 y CVE-2026-102855 (Visio).
• Windows (Text Shaping, NDIS, VBS, iSCSI, Storport, AppX, CSC, GDI, cliente DHCP, CD-ROM, Bind Filter, EFS, Bluetooth, cliente SMB, gestión de particiones, Event Tracing, LSASS, UI Immersive Server, DFS, Shell, NFS y bus PCI): CVE-2026-102225, CVE-2026-105007, CVE-2026-108471, CVE-2026-69521, CVE-2026-69765, CVE-2026-69945, CVE-2026-70068, CVE-2026-70089, CVE-2026-70149, CVE-2026-70250, CVE-2026-70275, CVE-2026-70299, CVE-2026-83759, CVE-2026-83777, CVE-2026-83784, CVE-2026-83789, CVE-2026-83797, CVE-2026-83851, CVE-2026-83874, CVE-2026-83928, CVE-2026-85905, CVE-2026-85931, CVE-2026-85936, CVE-2026-88115, CVE-2026-96914 y CVE-2026-96917.
• SQL Server: CVE-2026-65674, CVE-2026-94512, CVE-2026-67625, CVE-2026-68883, CVE-2026-85886, CVE-2026-96956, CVE-2026-85888, CVE-2026-88081 y CVE-2026-88083. Esta última permite ejecutar código sin credenciales.
• Visual Studio Code y Visual Studio: CVE-2026-69370, CVE-2026-102235, CVE-2026-70098 y CVE-2026-102234.

Qué hacer

La prioridad es aplicar cuanto antes las actualizaciones que Microsoft indique para CVE-2026-96951, al estar explotada. Después conviene abordar las críticas, empezando por los sistemas expuestos.

• Parchear con urgencia todos los equipos Windows frente a CVE-2026-96951; el plazo del 16 de octubre fijado por CISA es una buena referencia.
• Actualizar los servidores IIS y Exchange, así como los equipos que usen iSCSI, y no exponer estos servicios a Internet sin necesidad.
• Desplegar las actualizaciones de Office en todos los puestos, prestando especial atención a Outlook y Excel.
• Actualizar SQL Server y Visual Studio Code, y revisar quién tiene acceso a las bases de datos.
• Consultar en la guía MSRC las versiones afectadas y corregidas de cada CVE.
• Mientras tanto, reforzar la precaución con adjuntos y enlaces de origen desconocido.

Fuentes

• Microsoft MSRC: CVE-2026-102238 (Visual Studio Code)

Tecnologías afectadas

Vulnerabilidades (126)