Las cohortes de riesgo de Microsoft no sustituyen la revisión individual

Paralelamente a las actualizaciones de seguridad de octubre, Microsoft presenta unas cohortes de riesgo provisionales. Agrupan vulnerabilidades con preguntas similares sobre el entorno del cliente y están destinadas a apoyar la priorización de parches. No son categorías oficiales; cada vulnerabilidad debe seguir revisándose por separado.

Relacionados: Vulnerabilidades de Windows: orden de parches para activos críticos  ·  Vulnerabilidad del kernel de Linux: Ubuntu aún no ofrece parche

El Patch Tuesday de octubre en cifras

El 13 de octubre, en el Patch Tuesday mensual, Microsoft publicó sus actualizaciones de seguridad. Según el recuento de BleepingComputer, corrigen 1.411 vulnerabilidades. Las vulnerabilidades corregidas ya antes en el mes no entran en ese recuento. Según el recuento de la Zero Day Initiative, la versión de octubre incluye 1.415 CVE nuevas de Microsoft. Una CVE (Common Vulnerabilities and Exposures) es el número identificativo único de una vulnerabilidad registrada públicamente.

Ese mismo día, Microsoft presentó un enfoque provisional destinado a apoyar a los clientes en su propio análisis de vulnerabilidades. Ordena las vulnerabilidades según preguntas sobre el entorno del cliente.

Cómo deben funcionar las cohortes de riesgo

Microsoft denomina al concepto cohortes de riesgo, en el original «risk cohorts». Una cohorte de riesgo agrupa CVE sobre las que surgen preguntas similares acerca del entorno del cliente. No presupone ni una causa común del error ni un mismo valor CVSS. El valor CVSS es una medida estandarizada del nivel técnico de gravedad de una vulnerabilidad.

Lo decisivo para la asignación son, por tanto, las preguntas que surgen en el entorno de TI del cliente. Así pueden figurar en el mismo grupo dos vulnerabilidades técnicamente distintas. Los clientes deben documentar las preguntas comunes sobre el entorno de cada grupo. El enfoque está pensado como apoyo para los análisis que realizan los propios clientes.

Lo que los grupos no aportan

Las cohortes de riesgo no son categorías oficiales de vulnerabilidades de Microsoft. En las recomendaciones de actualización de Microsoft no cambian nada. Pertenecer a un grupo tampoco significa que una misma actualización o una misma contramedida corrija todas las CVE incluidas. Sigue abierto cómo se integrará el concepto en las herramientas de Microsoft.

Cada CVE debe seguir revisándose por separado. Para ello están previstos cuatro criterios:

• explotación activa
• gravedad
• vía de ataque
• recomendaciones específicas del producto

La documentación de las cuestiones comunes relativas al entorno complementa esta revisión.

Dos vulnerabilidades de octubre en comparación

Dos vulnerabilidades del boletín de octubre muestran hasta qué punto pueden diferir dos entradas del mismo mes. CVE-2026-96951 afecta a la shell de Windows, la interfaz de usuario del sistema operativo. La vulnerabilidad se considera explotada de forma activa y tiene el nivel de gravedad «Important», que en español significa «importante». Un atacante no autorizado puede inyectar comandos a través de la red, lo que se conoce como inyección de comandos. Con ello elude la protección Mark of the Web, un marcado de Windows para archivos procedentes de internet.

La explotación requiere una acción del usuario. Según la Zero Day Initiative, los afectados deben probar y desplegar el parche con rapidez debido a la explotación activa.

CVE-2026-108398, en el .NET Framework, es un caso distinto. El atacante debe estar autenticado, es decir, disponer de un inicio de sesión válido. Con ello puede eludir localmente Windows Defender Application Control, en siglas WDAC. Esta función determina qué aplicaciones pueden ejecutarse en un equipo. La vulnerabilidad es de conocimiento público, no se ha notificado ninguna explotación activa.

Según los cuatro criterios de revisión, ambos casos difieren en la explotación, en la vía de ataque y en los requisitos para el atacante. Las recomendaciones de actualización de Microsoft para ambas vulnerabilidades siguen sin verse afectadas por las cohortes de riesgo.

Preguntas frecuentes

Cada pregunta está cerrada. Un toque desbloquea la respuesta.

¿Qué papel desempeña el usuario en CVE-2026-96951?

Sin una acción de la víctima, la vulnerabilidad no puede explotarse. El atacante debe inducirla a ello, por ejemplo mediante un enlace o un adjunto manipulados.

¿Muestra el Security Update Guide las cohortes de riesgo?

De momento no. El Security Update Guide, el portal de Microsoft con información sobre actualizaciones de seguridad, aún no muestra las relaciones de cohorte. Microsoft no promete una integración concreta en el producto.

¿Se han modificado los datos de CVE-2026-96951 desde su publicación?

El registro de cambios indica para la vulnerabilidad únicamente la publicación inicial del 13 de octubre. La fecha indicada para la última versión publicada del boletín de octubre es también ese mismo día.

Selección editorial

RecomendadoGaps en Windows: Secuencia de parches para activos críticos

Fuente de la imagen: generado por IA (noviembre 2026)

Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.