Patch Tuesday Septiembre 2026: Microsoft Corrige 973 Vulnerabilidades con 2 Zero-Days Explotados Activamente que Amenazan a las PyMEs Mexicanas

Microsoft publicó hoy el Patch Tuesday de septiembre de 2026, el más grande en la historia de la compañía, corrigiendo un total de 973 vulnerabilidades en sus productos. La industria de ciberseguridad ya lo denomina el "Patch Apocalypse", impulsado en gran medida por el uso de inteligencia artificial para detectar fallos de seguridad a escala masiva. Para las PyMEs mexicanas que dependen de Windows, Office, SQL Server y otros productos Microsoft, este parche es de atención inmediata.

La magnitud de esta actualización casi duplica el volumen del mes anterior (421 CVEs en agosto). De las 973 vulnerabilidades corregidas, aproximadamente 113 son clasificadas como Críticas, y lo más alarmante: dos zero-days ya están siendo explotados activamente en ataques reales antes de que Microsoft publicara el parche.

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) añadió ambos zero-days al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 8 de septiembre de 2026, exigiendo a las agencias federales aplicar los parches en un plazo de 24 horas.

• CVE-2026-85880 – Elevación de Privilegios en Windows ALPC: Afecta al componente de Llamada a Procedimiento Local Avanzada (ALPC) de Windows, un mecanismo fundamental de comunicación entre procesos. Un atacante con acceso previo al sistema puede escalar sus privilegios hasta nivel SYSTEM, obteniendo control total del equipo. Este tipo de vulnerabilidad es especialmente peligrosa en entornos donde los empleados comparten equipos o tienen acceso físico a las instalaciones.

• CVE-2026-81963 – Elevación de Privilegios en Windows Update Stack: Afecta al propio mecanismo de actualización de Windows. Un atacante puede aprovechar este fallo para elevar privilegios localmente, e incluso potencialmente inyectar código malicioso o bloquear futuras actualizaciones de seguridad legítimas. Que el vector de ataque sea el propio sistema de actualizaciones lo hace especialmente crítico.

• Microsoft Office (Word y Excel): 38 correcciones para Word y 32 para Excel, incluyendo vulnerabilidades de Ejecución Remota de Código (RCE) con puntuaciones CVSS de hasta 9.8. Un archivo de Word o Excel malicioso enviado por correo podría comprometer el equipo de un empleado.
• SQL Server: 61 vulnerabilidades corregidas. Si tu PyME usa SQL Server para gestionar bases de datos de clientes, inventario o contabilidad, actualiza de inmediato.
• Windows DNS Server y Remote Desktop Services: Fallos críticos de RCE con CVSS 9.8 y 10.0 que podrían permitir a atacantes remotos tomar control de servidores sin necesidad de credenciales.
• Windows Print Spooler (CVE-2026-85877): El histórico componente de impresión de Windows vuelve a ser vector de ataque. Si tu empresa tiene impresoras en red, este parche es prioritario.
• Servicio Biométrico de Windows: 64 vulnerabilidades identificadas en el subsistema de autenticación biométrica, lo que podría afectar a sistemas con lectores de huella o reconocimiento facial.

Las PyMEs mexicanas son objetivos frecuentes porque suelen tener equipos con actualizaciones pendientes por semanas o meses. Los atacantes escanean internet en busca de sistemas vulnerables de forma automatizada, y una vez que encuentran uno sin parchear, pueden:

1. 1Instalar ransomware y cifrar todos tus archivos
2. 2Robar información confidencial de clientes y proveedores
3. 3Usar tu infraestructura para atacar a terceros
4. 4Acceder a cuentas bancarias y sistemas de facturación

El hecho de que los dos zero-days sean de "Elevación de Privilegios" significa que un atacante que ya tenga acceso básico (por ejemplo, mediante phishing) puede convertirse en administrador total del sistema en segundos.