Microsoft corrige 165 vulnerabilidades en su mayor actualización mensual de seguridad

Microsoft lanza la segunda mayor actualización mensual de parches de su historia

Microsoft ha publicado su segunda mayor actualización mensual de parches en su historia, con un total de 165 vulnerabilidades corregidas en sus productos y sistemas subyacentes. Entre ellas, destaca una vulnerabilidad de día cero (CVE-2026-32201) ya explotada activamente en Microsoft Office SharePoint.

Dustin Childs, responsable de concienciación sobre amenazas en la iniciativa Zero Day de Trend Micro, destacó en un comunicado que "según nuestros registros, esta es la segunda mayor liberación mensual en la historia de Microsoft". Aunque la compañía no ha explicado el motivo del aumento en el volumen de parches, Childs apuntó a un incremento significativo en las notificaciones de vulnerabilidades, impulsado en parte por herramientas de inteligencia artificial que detectan fallos con mayor frecuencia.

Según Microsoft, el 75% de las vulnerabilidades corregidas este mes tienen un bajo riesgo de explotación. Sin embargo, 19 de ellas han sido clasificadas como más probables de ser aprovechadas por atacantes.

Detalles de las vulnerabilidades críticas

La vulnerabilidad de día cero CVE-2026-32201, con una puntuación CVSS de 6.5, permite a los atacantes visualizar y modificar información sensible en Microsoft Office SharePoint. Microsoft confirmó que se trata de un fallo de validación incorrecta de entradas que facilita el spoofing a través de la red sin necesidad de autenticación.

Por su parte, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) añadió esta vulnerabilidad a su catálogo de fallos explotados activamente poco después del anuncio de Microsoft.

Riesgo de escalada de privilegios en Microsoft Defender

Otra de las vulnerabilidades destacadas es CVE-2026-33825, un fallo de alta gravedad en Microsoft Defender que, según la compañía, es más probable que sea explotado. Este defecto permite a atacantes no autorizados elevar privilegios localmente, lo que podría derivar en un control total del sistema.

"Lo que comienza como un punto de apoyo puede convertirse rápidamente en un dominio total del sistema",

Jack Bicer, director de investigación de vulnerabilidades en Action1, advirtió en un comunicado.

"Una vez explotado, permite el control total de los endpoints, facilitando la exfiltración de datos, la desactivación de herramientas de seguridad y el movimiento lateral en las redes".

Bicer añadió que, al existir código de explotación de prueba de concepto disponible públicamente, el riesgo de que sea utilizado en ataques reales aumenta significativamente.

Otras vulnerabilidades destacadas

Microsoft también corrigió dos vulnerabilidades críticas este mes:

• CVE-2026-33824: Afecta a la Extensión IKE de Windows y, aunque es crítica, Microsoft la considera menos probable de ser explotada.
• CVE-2026-26149: Impacta en Microsoft Power Apps y, al igual que la anterior, ha sido clasificada como de bajo riesgo de explotación.

La compañía ha publicado la lista completa de vulnerabilidades corregidas en su Centro de Respuesta de Seguridad para que los administradores y usuarios puedan revisar los parches aplicados.