Microsoft ha publicado su boletín de seguridad correspondiente a septiembre con una cifra récord: aproximadamente 972 vulnerabilidades corregidas, de las cuales 112 alcanzan el umbral de severidad crítica. Se trata del tercer mes consecutivo en el que la compañía rompe su propia marca, después de los 570 fallos solventados en julio y los cerca de 620 de agosto, en un momento en el que el sector se prepara para una presumible oleada de ataques automatizados con inteligencia artificial que podrían explotar estos agujeros antes de que sean reparados. Así lo recoge Ars Technica, que cita datos del investigador Dustin Childs, de la firma Zero Day Initiative (ZDI).
Un récord que ya es "la nueva normalidad"
Contar con precisión el número de vulnerabilidades incluidas en una remesa mensual de Microsoft nunca es una ciencia exacta: en algunos casos los fallos ya habían sido abordados con anterioridad o afectaban a productos que no son de la compañía. Según el recuento de Childs, el paquete de septiembre corrige 972 vulnerabilidades, cifra que asciende a 997 si se contabilizan las correcciones trasladadas al navegador Chromium integrado en Edge. De los fallos nuevos, 112 están clasificados como críticos y el resto como importantes.
El investigador no duda en calificar estos picos como "la nueva normalidad". En declaraciones recogidas por Ars Technica, Childs felicita a los "gnomos de la seguridad" de Microsoft por su ritmo de parcheo, pero advierte de que el descubrimiento de vulnerabilidades asistido por IA no muestra signos de desaceleración. Aun así, matiza, todavía no se ha observado un aumento correlacionado de explotaciones activas: "todavía", apostilla.
Las cifras acumuladas dan una idea de la magnitud del fenómeno. Solo en lo que va de año, Microsoft ha corregido 2.760 vulnerabilidades, más del doble que en todo el ejercicio anterior. Si se mantiene el ritmo actual, la compañía cerrará 2026 habiendo solucionado más fallos que los ejercicios 2023, 2024 y 2025 juntos.
Los fallos más preocupantes de septiembre
Entre las vulnerabilidades más notables del boletín figuran dos zero-days: la CVE-2026-81963, localizada en el servicio de actualización de Windows, y la CVE-2026-85880, en el servicio avanzado de procedimiento local de Windows. Por el momento no hay información pública sobre quién las está explotando ni con qué alcance.
Childs destaca además otros fallos relevantes. En Exchange Server, la CVE-2026-55007 permitiría a un atacante remoto no autenticado ejecutar código en un servidor afectado con solo enviar un correo que incluya un archivo de Visio malicioso. En Microsoft Authenticator, la CVE-2026-80097 constituye una escalada de privilegios local que el investigador califica como "el peor tipo de escalada de privilegios", al aprovechar un fallo en el propio sistema de autenticación. También señala la CVE-2026-69465, que agrupa unas 17 vulnerabilidades distintas en Microsoft Office SharePoint capaces de permitir la ejecución remota de código, y la CVE-2026-65669, una de las 60 vulnerabilidades de escalada de privilegios en SQL Server publicadas este mes, explotable cuando un usuario envía instrucciones a través de SQL Copilot. Por último, la CVE-2026-69525 es un fallo de ejecución remota de código en Servicios de Escritorio Remoto con una calificación de gravedad de 9,8 sobre 10.
El propio investigador reconoce que dejó de contar las vulnerabilidades "gusanables" (wormable) de esta remesa al superar la veintena. Estos fallos no requieren interacción del usuario para ser explotados y pueden propagarse de un equipo a otro por sí solos, lo que podría desencadenar una reacción en cadena difícil de contener.
Por qué importa: la antesala de los ataques con IA
El contexto resulta casi tan relevante como las cifras. Hace dos semanas, OpenAI, Anthropic, Amazon Web Services, Google, Microsoft y un centenar de empresas y organizaciones firmaron una carta abierta en la que alertaban de que la ventana para parchear vulnerabilidades se está estrechando, ante la previsión de un "tsunami" de ataques habilitados por inteligencia artificial que exploten los fallos de forma activa y prioritaria. El aluvión de parches de los últimos meses, tanto en Microsoft como en Google y otras compañías, se interpreta como una respuesta de la industria a esa amenaza.
No obstante, la eficacia de la caza de vulnerabilidades asistida por IA sigue siendo objeto de controversia. Los críticos cuestionan el coste económico y el elevado número de falsos positivos que generan los modelos de lenguaje, y también ponen en duda los intereses de las empresas que tratan de atribuirse estos resultados. Pese al debate, la tendencia apunta en una dirección clara: el volumen de fallos descubiertos y corregidos no dejará de crecer, y la presión sobre los equipos de seguridad de las organizaciones será cada vez mayor.
Qué esperar a continuación
Los próximos boletines mensuales servirán para comprobar si esta dinámica se consolida o si, por el contrario, el ritmo se estabiliza. Los analistas seguirán de cerca dos indicadores: la evolución del número de vulnerabilidades descubiertas por herramientas de IA y, sobre todo, si ese incremento acaba traduciéndose en un repunte de explotaciones activas, algo que hasta ahora no se ha materializado de forma correlacionada.
Para las empresas y usuarios, la recomendación es clara: aplicar los parches de forma prioritaria, prestando especial atención a los componentes expuestos a Internet, como Exchange Server o los Servicios de Escritorio Remoto. Con la ventana de reacción estrechándose, la gestión disciplinada de actualizaciones se ha convertido en la primera línea de defensa frente a lo que se avecina.