Qué pasó
En el Patch Tuesday del 8 de septiembre de 2026, Microsoft corrigió 964 CVE, la mayor publicación registrada, por encima de julio, según Tenable. 104 críticas y 860 importantes. La escalada de privilegios supuso el 44,7% y la ejecución remota de código el 26,8%.
Los dos zero-days
- CVE-2026-81963 (Windows Update Stack): fallo de link following que permite escalar a SYSTEM. CVSS 7,8. Es la primera EoP del Update Stack explotada como zero-day desde 2022.
- CVE-2026-85880 (Windows ALPC): escalada a SYSTEM, CVSS 7,8. Segundo zero-day en ALPC desde CVE-2023-21674.
Ambas requieren acceso local, pero son justo lo que los atacantes encadenan tras un phishing.
Otros fallos a priorizar
- CVE-2026-69730 (Windows DNS Server): RCE sin autenticación, CVSS 9,8.
- CVE-2026-69525 (Remote Desktop Services): RCE por use-after-free, CVSS 9,8.
- CVE-2026-69676 (Kerberos): RCE, CVSS 8,8.
- CVE-2026-69380 (Exchange Server): un usuario autenticado puede acceder a otros buzones; CVSS 8,1.
Qué hacer ahora
- Aplique las actualizaciones acumulativas de septiembre, empezando por equipos de usuarios que navegan por internet.
- Priorice servidores DNS, RDS y controladores de dominio.
- Automatice el parcheo y use el catálogo KEV de CISA para fijar el orden.