Microsoft acaba de establecer un nuevo récord de volumen para su Patch Tuesday. La actualización de seguridad de septiembre de 2026 incluye 974 vulnerabilidades identificadas mediante CVE en el conjunto completo de correcciones publicado por la compañía. Distintos recuentos técnicos separan algunas correcciones que Microsoft aplica directamente en servicios de nube, pero la cifra oficial del lanzamiento alcanza 974 CVE y marca un salto excepcional frente a meses anteriores.
La gravedad también está repartida de manera significativa. Los análisis de la actualización contabilizan 104 vulnerabilidades críticas y 860 importantes. Entre las categorías aparecen fallas de elevación de privilegios, ejecución remota de código, divulgación de información, denegación de servicio y omisiones de funciones de seguridad. Para los administradores, el volumen no es una curiosidad estadística: implica revisar un conjunto grande de actualizaciones y determinar qué equipos y aplicaciones están expuestos.
Dos vulnerabilidades merecen atención adicional porque estaban siendo explotadas activamente como zero-days. Los identificadores CVE-2026-85880 y CVE-2026-81963 corresponden a fallas de elevación local de privilegios. No permiten por sí solas el mismo tipo de acceso remoto que una vulnerabilidad de ejecución de código a distancia, pero pueden ser muy útiles para un atacante que ya consiguió ejecutar código o entrar en un dispositivo con permisos limitados.
El récord llega además después de otro aumento importante en el volumen de correcciones. Los datos publicados sobre los Patch Tuesday recientes muestran 570 CVE en julio, 400 en agosto y 974 en septiembre. Microsoft había advertido anteriormente que el uso de herramientas de IA y técnicas automatizadas para encontrar vulnerabilidades podía aumentar el número de fallas que necesitaban corrección. Esa relación es relevante como contexto, pero no debe simplificarse como “la IA encontró las 974”: el lanzamiento contiene vulnerabilidades de distintos productos y orígenes.
En México, la consecuencia más concreta es operativa. Un paquete de este tamaño aumenta la presión sobre los equipos que deben clasificar riesgos, probar compatibilidad y desplegar actualizaciones sin interrumpir servicios. El récord no significa que cada organización tenga que instalar exactamente 974 parches, porque la exposición depende de sus productos y configuraciones. Sí significa que septiembre exige una revisión especialmente cuidadosa de los avisos aplicables y de las dos vulnerabilidades explotadas activamente. En seguridad, el número llama la atención; la respuesta correcta sigue siendo priorizar y corregir.
La cifra también tiene una dimensión de planificación. Un equipo puede tener cientos de equipos Windows, Office y otros productos afectados, pero no todos requieren la misma prioridad. Las vulnerabilidades explotadas activamente deben ocupar un lugar distinto frente a fallas sin explotación conocida, mientras que la criticidad y la exposición real dependen del entorno. El récord sirve para medir la presión del mes; no sustituye la evaluación de riesgo que cada organización debe hacer.