Microsoft corrige 973 CVEs en septiembre y admite dos zero-days bajo explotación activa en Windows
El mayor Patch Tuesday de la historia de Microsoft llega con fallas ya explotadas en ataques en Windows ALPC y en el Windows Update Stack, ambas elevando privilegios hasta SYSTEM.
Microsoft publicó en el Patch Tuesday del 8 de septiembre la mayor cantidad de correcciones en su historia: 973 CVEs en un solo ciclo, dos de ellas con explotación activa ya confirmada por la propia empresa. Las dos vulnerabilidades explotadas afectan el Windows Advanced Local Procedure Call (ALPC) y el Windows Update Stack, y ambas elevan privilegios locales hasta SYSTEM.
La CVE-2026-85880, en ALPC, es un desbordamiento de búfer basado en heap con CVSS 7.8. El ataque proviene de código que ya se está ejecutando dentro de un AppContainer de bajo privilegio y permite escapar del sandbox para tomar el control de la máquina. Volexity y Proofpoint fueron acreditadas por informar de la falla a Microsoft, lo que indica que la explotación se había estado observando en el campo antes de la divulgación. Es el segundo zero-day en ALPC en cuatro años.
La CVE-2026-81963, en el Windows Update Stack, también recibe CVSS 7.8 y surge de una resolución inapropiada de enlaces: un atacante puede forzar al servicio de actualización a seguir un enlace malicioso y sobrescribir un componente del sistema por un binario controlado. Microsoft acredita a Romain Deperne, investigador ofensivo de Airbus Helicopters, y al Microsoft Threat Intelligence Center por el descubrimiento. Es la primera EoP en el componente explotada en el campo desde 2022, y la corrección abarca todas las versiones soportadas de Windows.
Escala sin precedentes y superficie ampliada
Dentro del paquete, Microsoft clasifica 113 CVEs como Críticos y 860 como Importantes. Office concentra tres RCEs críticas: CVE-2026-81959 y CVE-2026-81953 en Excel y CVE-2026-81952 en Word. Kerberos, Key Distribution Center y Netlogon, pilares de la autenticación corporativa en Windows, también figuran entre las críticas remotas. La superficie incluye SQL Server, Exchange, SharePoint, Azure y herramientas de desarrollo, lo que lleva el problema a los centros de datos de empresas que aún operan servidores locales.
El tamaño del ciclo tiene un efecto práctico: más parches, más reinicios, más ventanas de mantenimiento, más oportunidades para el atacante que aún no ha corregido. El equipo de Talos observa que ALPC suele estar encadenada con otra falla de ejecución remota en kill chains reales, lo que refuerza la orientación para tratar las dos EoPs explotadas como fila cero, incluso por delante de las RCEs Críticas.
Bancos, gobierno y Brasil en medio del fuego
Bancos europeos y norteamericanos, que ejecutan Windows Server y Exchange en las capas de identidad, quedan expuestos al mismo patrón de escalada silenciosa: el atacante entra por phishing, cae en un contexto restringido y utiliza ALPC para convertirse en SYSTEM. En EE. UU., JPMorgan y Bank of America mantienen flotas de decenas de miles de endpoints Windows bajo gestión subcontratada. En Alemania, Deutsche Bank y agencias federales aún dependen de infraestructuras Windows on-prem para la autenticación interna, y sufren la misma exposición bajo la nueva directiva NIS2.
Brasil entra por la misma puerta: la base instalada de Windows corporativo en bancos, tribunales y organismos públicos es grande y a menudo está rezagada en ciclos de parches. El CTIR Gov y Serpro tendrán que propagar las dos correcciones en ventanas cortas si quieren evitar que la explotación observada por Volexity y Proofpoint alcance activos federales. Itaú y Bradesco comparten la misma superficie de identidad Windows en los servicios corporativos que sustentan mesa y private bank.
Hay un detalle menos comentado del ciclo: el origen de la mitad del descubrimiento. Airbus Helicopters aparece como referencia de threat intel sobre el Windows Update. Un proveedor aeroespacial europeo que opera investigación ofensiva sobre un subsistema crítico de Microsoft no es un accidente. Es el nuevo diseño de la defensa corporativa, en el que los grandes usuarios pasan a tratar la base de código de los proveedores como parte de su propia superficie de riesgo, en lugar de esperar a la cadena de suministro del proveedor.