Microsoft corrige 167 vulnerabilidades en su 'Patch Tuesday' de abril 2026, incluyendo dos fallos críticos

Microsoft aborda 167 vulnerabilidades en su actualización de abril 2026

Microsoft ha publicado su Patch Tuesday de abril 2026, una actualización masiva que corrige 167 vulnerabilidades en sus sistemas operativos Windows y software relacionado. Entre los fallos más críticos destacan un zero-day en SharePoint Server y una vulnerabilidad en Windows Defender conocida como "BlueHammer".

SharePoint Server: riesgo de suplantación de identidad

La empresa de Redmond ha alertado sobre la explotación activa de CVE-2026-32201, una vulnerabilidad en SharePoint Server que permite a los atacantes suplantar contenido o interfaces de confianza en redes corporativas. Según Mike Walters, presidente de Action1, este fallo puede usarse para:

• Lanzar ataques de phishing dentro de entornos SharePoint legítimos.
• Manipular datos sin autorización.
• Facilitar campañas de ingeniería social que comprometan aún más los sistemas.

Walters advirtió que la explotación activa aumenta significativamente el riesgo para las organizaciones.

BlueHammer: escalada de privilegios en Windows Defender

Otra vulnerabilidad destacada es BlueHammer (CVE-2026-33825), un fallo de escalada de privilegios en Windows Defender. Will Dormann, analista senior de vulnerabilidades en Tharros, confirmó que el código de explotación público ya no funciona tras instalar los parches de hoy.

El investigador que descubrió el fallo publicó el código de explotación tras frustrarse con la respuesta de Microsoft, según reportó BleepingComputer.

Adobe Reader y Google Chrome también parchean fallos críticos

Además de Microsoft, otras empresas han lanzado actualizaciones urgentes:

• Adobe Reader: Corrigió un fallo de ejecución remota de código (CVE-2026-34621) que ya estaba siendo explotado activamente desde al menos noviembre de 2025, según Satnam Narang, ingeniero de Tenable.
• Google Chrome: Solucionó su cuarto zero-day de 2026, incluyendo CVE-2026-5281, un fallo de alta gravedad corregido en una actualización anterior.

¿Por qué hay tantas vulnerabilidades este mes?

Adam Barnett, ingeniero principal de software en Rapid7, destacó que este Patch Tuesday marca un récord al incluir casi 60 vulnerabilidades en navegadores. Aunque algunos sugirieron que esto podría estar relacionado con el anuncio de Project Glasswing (una capacidad de IA de Anthropic para detectar fallos), Barnett aclaró que la mayoría de estos problemas provienen del motor Chromium, utilizado por Microsoft Edge.

Barnett concluyó que el aumento en el volumen de vulnerabilidades está impulsado por las capacidades en expansión de la IA. "Esperamos ver un incremento continuo en la detección de vulnerabilidades a medida que los modelos de IA avancen en capacidad y disponibilidad", afirmó.

Recomendaciones para usuarios y empresas

Los expertos insisten en la importancia de:

• Instalar todas las actualizaciones disponibles, especialmente en navegadores como Chrome o Edge.
• Reiniciar el navegador periódicamente para garantizar que las actualizaciones se apliquen correctamente, incluso si se tienen múltiples pestañas abiertas.
• Revisar el resumen de parches del SANS Internet Storm Center para obtener detalles técnicos.

Si experimenta problemas al aplicar las actualizaciones, se recomienda contactar con el soporte técnico de Microsoft o consultar sus guías oficiales.