La compañía publicó su actualización de seguridad de septiembre con 966 vulnerabilidades corregidas, entre ellas 105 consideradas críticas y dos fallos de día cero que ya estaban siendo explotados. El paquete está disponible para las versiones compatibles de Windows e incluye correcciones y mejoras adicionales.
Una actualización con casi mil correcciones
Microsoft lanzó su actualización de seguridad correspondiente al Patch Tuesday de septiembre, identificada como KB5124008, con las compilaciones de sistema operativo 26200.9445 y 26100.9445.
El paquete reúne 966 correcciones de seguridad, aunque el número puede variar levemente según el método de recuento. Algunas fuentes contabilizan hasta 974 vulnerabilidades.
La actualización ya puede descargarse en las versiones compatibles de Windows y también incorpora mejoras que habían sido incluidas en la actualización KB5120998, publicada durante agosto.
Dos vulnerabilidades de día cero ya eran explotadas
Entre los fallos corregidos, dos fueron considerados especialmente relevantes porque ya estaban siendo utilizados por atacantes antes de que Microsoft publicara una solución oficial.
Ambos corresponden a vulnerabilidades de elevación de privilegios, que pueden permitir que un atacante que ya consiguió cierto nivel de acceso a un equipo alcance permisos de SYSTEM.
La primera es la CVE-2026-81963, localizada en la pila de actualizaciones de Windows. El problema está relacionado con una resolución incorrecta de enlaces antes del acceso a determinados archivos, lo que podía permitir una elevación local de privilegios.
La segunda, identificada como CVE-2026-85880, afecta al mecanismo ALPC de Windows. Se trata de un desbordamiento de búfer que podía ser aprovechado por un atacante autorizado para elevar sus privilegios localmente.
Según la información citada en el material, un atacante capaz de ejecutar código dentro de un AppContainer con pocos privilegios podía utilizar esta vulnerabilidad para escapar de ese entorno restringido y alcanzar permisos de SYSTEM.
Este nivel de acceso permite interactuar con componentes protegidos del sistema, ejecutar acciones con privilegios elevados y facilitar la permanencia de programas maliciosos en el equipo.
Más de 100 vulnerabilidades fueron clasificadas como críticas
Microsoft clasificó 105 de las vulnerabilidades corregidas como críticas.
Dentro de ese grupo se encuentran:
- 81 vulnerabilidades de ejecución remota de código.
- 20 de elevación de privilegios.
- 2 de divulgación de información.
- 1 relacionada con la elusión de una función de seguridad.
El resto del paquete incluye 438 fallos de elevación de privilegios, 258 de ejecución remota de código, 173 de divulgación de información y 16 de suplantación de identidad, además de vulnerabilidades pertenecientes a otras categorías.
La diferencia entre los recuentos publicados por distintos medios se debe a los criterios utilizados para contabilizar las vulnerabilidades.
También incorpora mejoras para Windows
Además de las correcciones de seguridad, Microsoft amplió la cobertura de dispositivos que pueden recibir automáticamente nuevos certificados de arranque seguro.
El paquete también incluye mejoras de calidad en la pila de servicios, el componente encargado de instalar las actualizaciones de Windows.
Los usuarios pueden verificar la instalación del parche desde Configuración, en la sección Windows Update. (Microsoft)
Cómo instalar la actualización
Las actualizaciones acumulativas KB5124008 y KB5122880 fueron publicadas el 8 de septiembre para Windows 11 en sus versiones 24H2, 25H2 y 23H2.
Para los equipos con Windows 10 que todavía reciben soporte, Microsoft distribuyó la actualización KB5122878.
Para comprobar si el parche está disponible, hay que:
- Abrir el menú Inicio.
- Ingresar en Configuración.
- Seleccionar Windows Update.
- Pulsar Buscar actualizaciones.
- Instalar las actualizaciones acumulativas de seguridad disponibles.
- Reiniciar el equipo cuando el sistema lo solicite.
El reinicio es necesario para completar la aplicación de las correcciones, incluidas las correspondientes a las dos vulnerabilidades de día cero que ya habían sido explotadas activamente.
