974 parches de Microsoft en un día: cuáles te aplican

Es martes 8 de septiembre. Tu proveedor de soporte te reenvía un correo de dos líneas: «Salieron los parches de Microsoft, los aplicamos el fin de semana». Lo que el correo no dice es cuántos son.

Son 974.

No es un mes pesado. Es el lote de parches más grande que Microsoft ha publicado en un solo día, y llega con dos fallas que ya estaban siendo explotadas antes de que existiera el parche. Si tu equipo de IT (o tu proveedor, o tú mismo un sábado) tiene que decidir qué instalar primero, este artículo es para eso.

¿Qué salió exactamente en el Patch Tuesday de septiembre de 2026?

Microsoft publicó el 8 de septiembre de 2026 correcciones para al menos 974 vulnerabilidades en Windows y otros productos. Brian Krebs, que lleva años contando cada boletín mensual, lo llama «por lejos su lote de parches más grande de la historia». Los números que importan, en orden:

Con este boletín, el acumulado de 2026 supera las 2,600 vulnerabilidades parchadas. El récord anual anterior era 2020, con 1,245. Y todavía faltan tres meses.

Dos de las 113 críticas merecen nombre propio, porque son las que un atacante puede usar desde afuera de tu red sin que nadie haga clic en nada:

• CVE-2026-69730 — falla en el servicio DNS de Windows Server 2012 en adelante y de Windows 10. Un atacante sin autenticación la explota enviando un paquete de red especialmente construido. Microsoft la marca como «probable de ser explotada».
• CVE-2026-69829 — ejecución remota de código en Windows Shell. CVSS 9.8 sobre 10: baja complejidad, sin privilegios previos, sin interacción del usuario.

Los dos zero-days son de elevación de privilegios. Eso no suena tan grave como «ejecución remota», y por eso conviene traducirlo: un zero-day de este tipo no abre la puerta. Convierte un acceso pequeño (el usuario de contabilidad que cayó en un phishing) en control total del equipo. Es la segunda mitad de casi todo ataque de ransomware.

¿Por qué hay tantos parches en 2026?

Microsoft atribuye el crecimiento a la investigación de vulnerabilidades asistida por inteligencia artificial: los modelos aceleran el descubrimiento de fallas que antes tomaba meses de trabajo humano. No es un fenómeno de un solo proveedor. Adobe, Cisco, Google, Mozilla y Oracle reportan lo mismo, y Google anunció el mismo 8 de septiembre que pasa a publicar actualizaciones de seguridad cada dos semanas.

Aquí conviene leer con cuidado, porque hay dos lecturas posibles y solo una es útil.

La lectura de pánico: «Windows tiene 974 agujeros nuevos, estoy expuesto». La lectura operativa la dio Satnam Narang, ingeniero de investigación de Tenable, en el mismo artículo de Krebs:

«El descubrimiento de vulnerabilidades asistido por IA en 2026 está creando pajares más grandes, pero no está encontrando más agujas.»

Es decir: el número de fallas que de verdad pueden afectar a la mayoría de las organizaciones sigue siendo bajo. Lo que creció no es tu exposición. Lo que creció es la cantidad de trabajo para separar las cinco que te aplican de las 969 que no. Y ese trabajo lo hace una persona, no un modelo.

¿Qué parte del problema es humana y no técnica?

Tyler Reguly, director asociado de investigación de seguridad en Fortra, puso el dedo en la parte que casi nadie presupuesta: los parches de Windows en una empresa hay que probarlos antes de desplegarlos, porque no todo el software de terceros sobrevive un cambio en el sistema operativo. Su comentario fue directo a los CISOs: «¿Tienes a tu equipo desplegando después de hora y los fines de semana para no interrumpir el negocio? ¿Los recompensas por ese esfuerzo?»

Trasládalo a una pyme en Panamá. Casi ninguna tiene CISO. Tiene un proveedor de soporte, o una persona de IT que también atiende la impresora, o un dueño que sabe «lo suficiente». Y ese boletín de 974 parches le llega igual que a un banco, con la misma fecha y sin equipo de pruebas.

Cuando el volumen supera la capacidad, pasa una de dos cosas. O se instala todo a ciegas un viernes y el lunes no abre el sistema de facturación, o se deja acumular «para cuando haya tiempo» y los parches de septiembre se instalan en diciembre, con los dos zero-days abiertos tres meses. He visto las dos. La segunda es más común y más cara.

¿Cómo priorizar 974 parches sin un equipo de seguridad?

La respuesta corta: no priorizas parches, priorizas exposición. Un parche te importa en función de dos cosas: si el sistema afectado existe en tu red, y si un atacante puede alcanzarlo. Con esos dos criterios, las 974 se ordenan solas.

El paso que hace posible esa tabla es el que casi nadie tiene: un inventario vivo de qué versión de Windows corre en cada equipo y qué servicios expone. Sin inventario, «¿nos afecta el CVE del DNS?» se responde con una corazonada.

En mi laboratorio ese cruce lo hace Wazuh: su módulo de detección de vulnerabilidades toma el inventario de paquetes de cada host y lo compara contra los CVE publicados, así la pregunta pasa de «qué salió» a «qué de lo que salió está instalado en una máquina mía». No es una herramienta cara. Es software libre corriendo en un contenedor. Lo que cuesta es decidir montarlo antes del boletín y no después del incidente.

¿Y si mi empresa todavía tiene Windows Server 2012?

La falla de DNS CVE-2026-69730 afecta a Windows Server desde la versión 2012 en adelante. Esa versión sigue viva en más pymes de las que admiten tenerla: un controlador de dominio viejo, un servidor de archivos «que nunca ha fallado», el equipo donde corre el sistema contable heredado.

El problema de esos servidores no es este parche. Es que, sin el programa de actualizaciones extendidas, ya no reciben parches en absoluto, y un boletín como el de septiembre les llega como noticia y no como corrección. Si tienes uno, la conversación no es «cuándo lo parcho» sino «cuándo lo aíslo y cuándo lo migro». Es la misma discusión de fondo que decidir qué cargas se quedan en un servidor propio: infraestructura local sí, pero mantenida.

Qué revisar esta semana

1. Confirma que los dos zero-days están cerrados en todos los Windows. Es un solo acumulativo de septiembre por versión. Si tu proveedor dice «ya se aplicó», pide el reporte de qué equipos lo tienen instalado, no la afirmación.
2. Lista qué servidores Windows hacen DNS y qué versión corren. Si alguno es 2012 o 2012 R2 sin soporte extendido, ese es el hallazgo del mes, independiente del parche.
3. Define un grupo piloto de 3 a 5 equipos. Uno por rol: contabilidad, ventas, un servidor no crítico. Ahí van los parches primero, 48 a 72 horas antes que al resto. Si algo se rompe, se rompe en cinco máquinas.
4. Escribe cuánto tardó. Desde que salió el boletín hasta que el último equipo lo tuvo. Ese número, medido en días, es tu ventana de exposición real. Casi nadie lo conoce, y es el único que importa cuando llega el siguiente lote de mil.

Cuándo esto no te aplica

Si tu empresa corre enteramente en Microsoft 365 con laptops administradas por Intune y actualizaciones automáticas, el trabajo pesado ya está hecho: verifica el reporte de cumplimiento y sigue con tu semana. Y si usas una computadora personal, no necesitas nada de esta tabla: abre Windows Update, instala, reinicia. El único error posible es dejar que se acumulen tres meses de lotes de este tamaño.

Si el próximo boletín trae mil parches, ¿cuántos días pasan entre que sale y que el último equipo de tu empresa lo tiene instalado?

Si no conoces ese número, esa es la primera medición que vale la pena hacer. Antes que comprar cualquier cosa.