Patch Tuesday de octubre: zero-day ya explotado en Windows y 5 fallas críticas en Outlook
Microsoft publicó este martes 13 de octubre de 2026 su paquete mensual de parches de seguridad, el Patch Tuesday de octubre, y esta vez trae una vulnerabilidad que ya se estaba usando en ataques: la CVE-2026-96951, en el shell de Windows. Le sirve a un atacante para que un archivo que te manda por correo o por chat esquive las defensas de la Marca de la Web, la etiqueta con la que Windows señala lo que llegó de internet para tratarlo con desconfianza. Microsoft la lista en Windows 11, en Windows 10 (22H2 con ESU y las ediciones LTSC) y en Windows Server de 2012 R2 a 2025.
En el mismo paquete vienen cinco fallas críticas de Outlook que, según Microsoft, se pueden disparar con solo ver el mensaje en el panel de lectura, sin abrirlo ni hacer clic. Ninguna figura como explotada. Y para dos grupos el día tiene doble filo: es el último parche de Windows 11 24H2 Home y Pro y el último de Office 2021.
Qué hacer hoy, y es gratis: andá a Configuración → Windows Update → Buscar actualizaciones (en Windows 10, Configuración → Actualización y seguridad → Windows Update), dejá que baje y reiniciá cuando te lo pida. Después abrí Word o Outlook y andá a Archivo > Cuenta > Opciones de actualización > Actualizar ahora. Con eso cubrís lo del mes.
Qué te toca instalar, según tu Windows
Windows Update elige solo el paquete que corresponde. La tabla sirve para saber qué buscar y para comprobar que quedó puesto:
| Si tenés… | Te toca | Build después de instalar |
|---|---|---|
| Windows 11 24H2, 25H2 o 26H2 | KB5127648 | 26100.9711 / 26200.9711 / 26300.9711 |
| Windows 11 26H1 | KB5127646 | 28000.3231 |
| Windows 11 23H2 | KB5126653 | 22621.7652 |
| Windows 10 22H2 con ESU, o Enterprise LTSC 2021 | KB5126657 | 19045.7807 / 19044.7807 |
| Windows Server 2025 | KB5126646 | 26100.33650 |
| Windows Server 2022 | KB5126655 | 20348.5761 |
| Windows Server 2019 o Windows 10 Enterprise LTSC 2019 | KB5126651 | 17763.9376 |
| Windows Server 2016 o Windows 10 Enterprise LTSB 2016 | KB5126868 | 14393.9612 |
| Windows Server 2012 R2 con ESU | KB5126836 | paquete mensual (sin build en el título) |
Los números de KB y de build salen de las páginas de soporte de Microsoft del 13 de octubre. Para verificar, apretá Win + R, escribí winver y mirá el número de compilación.
Dos filas con letra chica. Windows 10: la página de KB5126657 dice que se aplica a Windows 10 ESU y a Enterprise LTSC 2021; si tu Windows 10 Home o Pro no está anotado en las actualizaciones extendidas, Windows Update no te lo va a ofrecer. Cómo anotarte lo contamos en la nota del ESU hasta 2027. Windows 11 23H2: la ficha avisa que Enterprise y Education reciben su último parche en noviembre de 2026.
El zero-day: el archivo que esquiva el control de «vino de internet»
La Marca de la Web (MOTW, por sus siglas en inglés) es una etiqueta que Windows les agrega a los archivos que vienen de un lugar no confiable, como internet: lo que bajás con el navegador o los adjuntos de un correo, según explica Microsoft. Office, por ejemplo, la usa para bloquear las macros de los archivos que llegaron de afuera. Es el freno que hace que un documento sospechoso no se abra como si lo hubieras creado vos.
La CVE-2026-96951 rompe ese freno. En su ficha, Microsoft la describe como una inyección de comandos en el shell de Windows que permite a un atacante sin autorización saltarse una función de seguridad por la red, y responde qué función: un atacante que la aproveche «podría evadir las defensas de la Marca de la Web» (traducido del inglés). La califica como importante, con un puntaje de 8,8 sobre 10, y la marca como explotada: «Exploitation Detected».
El escenario que describe Microsoft es el de siempre, y por eso conviene leerlo: el atacante te manda un archivo armado a propósito por correo o por mensajería, y no puede obligarte a abrirlo. Tiene que convencerte de hacer clic en un enlace o de abrir el adjunto. O sea: el truco no salta tu desconfianza, salta la de Windows.
Lo que la ficha no dice: quién la usó, contra quién ni desde cuándo. Microsoft no publicó esos datos, así que no hay forma de saber si hubo víctimas en América Latina. Lo que sí está claro es la lista de equipos afectados: Windows 10 (1607, 1809, 21H2 y 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1 y 26H2) y Windows Server de 2012 R2 a 2025. Si tu Windows está en esa lista y recibe parches, este es el que tenés que instalar hoy. Un detalle para administradores: Windows Server 2012 (no R2) con ESU recibió su paquete del mes, pero no figura en la lista de esta falla. La ficha también nombra a Outlook.com, el correo web de Microsoft; para ese no hay un paquete que bajar.
Outlook: cinco fallas críticas que se disparan con solo mirar el correo
La otra parte del paquete que te toca de cerca está en Outlook. Microsoft publicó cinco vulnerabilidades de ejecución remota de código calificadas como críticas, todas con 9,8 sobre 10: CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016 y CVE-2026-97749. Las cinco fichas dicen lo mismo sobre cómo se ataca: alcanza con «ver el mensaje en el panel de lectura de Outlook», «sin que el destinatario abra el mensaje ni haga clic en nada» (traducido del inglés).
La parte tranquilizadora: ninguna figura como explotada ni como divulgada, y Microsoft considera que su explotación es «menos probable». Ninguna de las cinco fichas propone un rodeo o una mitigación: la solución que figura es la actualización.
Qué Office tiene arreglo, según lo que lista Microsoft en las cinco fichas:
- Office LTSC 2021 y Office LTSC 2024, en 32 y 64 bits, y Microsoft 365 Apps for Enterprise.
- Dos de las cinco (CVE-2026-70291 y CVE-2026-88156) también afectan a Office para Mac. Ojo: para Office LTSC para Mac 2021 y 2024, Microsoft dice que la actualización «no está disponible de inmediato» y que la publicará «lo antes posible» (traducido del inglés). Office 365 para Mac figura con su arreglo.
- Office 2016 y Office 2019 no aparecen. Su soporte terminó el 14 de octubre de 2025, según el listado de ciclo de vida de Microsoft. Microsoft no dice si son vulnerables: lo único seguro es que no reciben este parche.
¿Y si tenés Office Hogar y Empresas 2021 o 2024, o Microsoft 365 en casa? Microsoft no los nombra por separado en estas fichas, pero su guía para actualizar Office se aplica a todos ellos y el camino es el mismo Actualizar ahora del principio. Dos detalles: en el Outlook clásico la pantalla se llama Cuenta de Office, y si el botón no aparece, primero tocá Habilitar actualizaciones. Si solo ves el botón «Acerca de», tu Office es de licencia por volumen o lo administra tu empresa: Microsoft sugiere probar con Microsoft Update o consultar a soporte.
Y si tu Office es 2021, este es el último parche que vas a recibir: su soporte termina hoy. Qué se corta y qué opciones hay está en nuestra nota sobre el fin de Office 2021.
Si seguís en Windows 11 24H2 Home o Pro, este es tu último parche
La página de KB5127648 lo dice sin vueltas: Windows 11 24H2 Home y Pro «llegó al fin de las actualizaciones», y la actualización de seguridad de octubre «es la última disponible para estas ediciones» (traducido del inglés). Así que el orden es: instalá hoy este paquete, que trae el arreglo del zero-day, y después pasá a 25H2 o 26H2, que es gratis por Windows Update. Los pasos están en nuestra nota sobre la Windows 11 2026 Update.
Un dato de yapa para los que venían con problemas de sonido: este mismo paquete trae la corrección del audio AC-3 que cerraba algunas apps y juegos viejos, el problema que contamos en nuestra nota sobre KB5124010.
El número del mes, y por qué no es el que importa
La guía de actualizaciones de seguridad de octubre de Microsoft, en su versión de datos (el archivo CVRF de las fuentes, descargado el 13 por la tarde), lista 1759 vulnerabilidades, de las cuales 1417 se publicaron ese mismo día; el resto se fue sumando desde el 2 de octubre. Mucho de eso no toca una PC de casa ni de oficina: 340 llevan la etiqueta Mariner, un sistema Linux de Microsoft que no es ni Windows ni Office, y en la lista también aparecen 19 del servidor web Apache.
Además de la explotada, hay dos divulgadas públicamente antes del parche, sin ataques registrados: una en .NET Framework (CVE-2026-108398), que le permite a un atacante que ya tiene acceso al equipo saltar los controles de aplicaciones de Windows Defender, y otra en MessagePack-CSharp (CVE-2026-92707), una librería para programadores. La de .NET Framework se corrige con las actualizaciones del mes; la de MessagePack la tiene que actualizar el programador en su proyecto, y no le cambia nada a quien solo usa la PC.
Para una PC de casa o una pyme, la cuenta que importa es más corta: una explotada, que se arregla con Windows Update, y cinco de Outlook, que se arreglan actualizando Office.
🛒 Si tu Office ya no recibe parches
Si tenés Office 2016 o 2019, o desde mañana Office 2021, Outlook se queda sin arreglos como estos. La salida gratis es Outlook en la web, que viene con una cuenta Microsoft. Si preferís el de escritorio sin suscripción, la versión de pago único que hoy tiene soporte es Office 2024: Microsoft le da parches hasta el 9 de octubre de 2029.
Preguntas que quedan
- ¿Tengo que pagar algo por el parche? No. Las actualizaciones de Windows y de Office son gratis. Lo único que puede tener costo, y solo en Windows 10, es anotarse en el ESU para seguir recibiéndolas.
- ¿Conviene apagar el panel de lectura de Outlook? Microsoft no lo propone como medida en ninguna de las cinco fichas. Lo que indica es actualizar Office.
- ¿Se sabe quién usó el zero-day? No. La ficha lo marca como explotado, pero no dice quién lo usó ni contra quién.
- ¿Y si Windows Update no me ofrece nada? Puede ser que ya lo tengas: fijate la build con
winvery compará con la tabla. Si estás en Windows 10 sin ESU, o en una versión de Windows que ya perdió el soporte, no te va a llegar.
Fuentes
- Microsoft, guía de actualizaciones de seguridad de octubre de 2026 y su documento CVRF (en inglés; archivo de datos de unos 40 MB), descargado el 13 de octubre de 2026 a las 19:06 GMT. Fichas de CVE-2026-96951, de las cinco de Outlook y de las dos divulgadas.
- Microsoft Support, páginas de KB5127648, KB5127646, KB5126653, KB5126657, KB5126646, KB5126655, KB5126651 y KB5126868 (en inglés), del 13 de octubre de 2026.
- Microsoft Learn, «Macros from the internet are blocked by default in Office» (en inglés): qué es la Marca de la Web y cómo la usa Office.
- Microsoft Support, «Cómo actualizar Microsoft 365 u Office para Windows».
- Microsoft Learn, listados de ciclo de vida de 2025 y 2029 (en inglés).
- Microsoft, Office en la web gratis (en inglés).
