Lo que una pyme debe parchear en octubre de 2026

Actualizaciones de seguridad de octubre de 2026: por dónde empezar

Microsoft publica sus correcciones el segundo martes de cada mes, y la de octubre de 2026 es la más grande registrada, según varias empresas de seguridad: 1408 vulnerabilidades en el recuento de INCIBE-CERT, 78 de ellas críticas. Otras fuentes dan cifras algo distintas, entre 1407 y 1413, según lo que cuenten. Para una pyme, el número da igual. Importan dos preguntas: qué fallos se están aprovechando ya y cuáles pueden llegarte sin que hagas nada raro.

Si el aviso «Reiniciar ahora» lleva tres días esperando a que acabes la jornada, este mes conviene hacerle caso.

1. Windows: el fallo que ya se está usando

Microsoft ha confirmado que CVE-2026-96951, un fallo de Windows Shell, se está explotando. Permite esquivar la marca que Windows añade a los archivos que llegan de internet o del correo, la que sirve para mostrar un aviso antes de abrirlos. Según Microsoft, el ataque típico es un correo o un mensaje con un archivo preparado: nadie puede obligarte a abrirlo, pero si lo abres, el aviso que te habría hecho dudar no aparece.

Afecta a Windows 10, a Windows 11 (de la versión 23H2 a la 26H2) y a Windows Server, de 2012 R2 a 2025. INCIBE-CERT recomienda priorizar esta actualización, y la agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el mismo 13 de octubre en su catálogo de fallos explotados.

Qué hacer: abre Windows Update en cada equipo, instala las actualizaciones de octubre y reinicia. Dos excepciones que ya contamos en el artículo sobre los fines de soporte de octubre: Windows 10 Home y Pro solo reciben esta corrección si están inscritos en el programa de actualizaciones extendidas (ESU), y Windows 11 Home y Pro 24H2 se queda sin parches a partir de ahora, así que toca pasar a 25H2 o 26H2.

2. Outlook, Word y PowerPoint: lo que se activa solo con mirar

Entre los fallos críticos de Office hay doce en los que, según Microsoft, el panel de vista previa es una vía de ataque: tres de Outlook (CVE-2026-88156, CVE-2026-70291 y CVE-2026-108448), cinco de Word y cuatro de PowerPoint. Basta con que el correo o el documento se muestre en la vista previa, sin abrirlo. Microsoft no tiene constancia de que se estén aprovechando y los califica de «explotación menos probable» o «improbable», pero es justo el tipo de fallo que conviene cerrar antes de que cambie esa valoración.

Afectan a Microsoft 365 Apps, a Office LTSC 2021 y 2024, para Windows y para Mac, y a Office 365 para Mac.

Qué hacer:

• Microsoft 365 se actualiza solo, pero puedes forzarlo desde cualquier aplicación de Office: Archivo > Cuenta > Información del producto > Opciones de actualización > Actualizar ahora. Si no aparece «Actualizar ahora», pulsa antes «Habilitar actualizaciones».
• Office LTSC 2021 recibe todavía esta corrección, la última antes de quedarse sin soporte. Los fallos que aparezcan a partir de noviembre ya no se corregirán: es el momento de decidir el relevo.

3. Cortafuegos, VPN y correo: pregunta a quien te los mantiene

Entre el 1 y el 16 de octubre, la CISA añadió a su catálogo de fallos explotados varios equipos que protegen la entrada de una oficina. El catálogo obliga a los organismos federales de Estados Unidos a corregirlos en tres días. A una pyme española o latinoamericana no la obliga a nada, pero es la mejor lista de prioridades disponible:

El caso de FortiMail es el más claro. Fortinet advirtió el 1 de octubre de que el fallo (CVE-2026-104286) se está explotando y no exige contraseña, y el 5 de octubre añadió a su aviso las versiones corregidas: 7.4.9, 7.6.7 y 8.0.2. La rama 7.2 no tendrá corrección y hay que pasar a la 7.4 o posterior. Fortinet ya actualizó por su cuenta el servicio en la nube, FortiMail Cloud.

4. Las herramientas de tu proveedor informático

Hay programas que no usas tú, sino quien te da soporte, y también figuran en el catálogo de octubre: AhsayCBS, un servidor de copias de seguridad que ofrecen algunos proveedores a sus clientes (dos fallos, el 14 de octubre), BeyondTrust Remote Support, una herramienta de asistencia remota (16 de octubre), y las versiones Data Center de varios productos de Atlassian, como Jira, Confluence o Bitbucket (15 de octubre).

No necesitas saber cuál usa tu proveedor. Te basta con preguntárselo. Puedes copiar este mensaje:

Hola: con los parches de seguridad de octubre de 2026, ¿me confirmas tres cosas? 1) Que todos nuestros equipos y servidores Windows tienen instalada la actualización de octubre. 2) Si tenemos FortiMail, un cortafuegos de Fortinet o de Palo Alto Networks, Ivanti Connect Secure, Cisco Secure Email Gateway o Citrix NetScaler, y si ya están actualizados. 3) Si para nuestras copias o el soporte remoto se usa AhsayCBS o BeyondTrust Remote Support, y si ya tiene las correcciones. Gracias.

Lista para esta semana

• Windows Update en todos los equipos, con reinicio incluido.
• Office al día; si sigues con Office 2021, fecha para decidir el relevo.
• Teléfonos: iOS y WhatsApp actualizados, por el aviso de INCIBE sobre cuentas de WhatsApp en iPhone sin actualizar.
• Mensaje enviado a quien mantiene tu red o tu informática.
• Copia de seguridad comprobada antes de actualizar un servidor o un cortafuegos.

El próximo boletín de Microsoft llega el 10 de noviembre de 2026. Volveremos con la lista de lo que haya que parchear ese mes.