1.400 parches en un solo martes: Microsoft nos puso un río de CVEs y la IA es la manguera

Este martes Microsoft batió su propio récord, y no del bueno: sacó parches para más de 1.400 vulnerabilidades en un solo Patch Tuesday. El mes anterior había roto otra marca con 972 fixes, que ya era diez veces la carga mensual normal. O sea, estamos hablando de que el parcheo de Windows pasó de ser una fila ordenada a ser una estampida.

Y no es un pico aislado. Con estos números, el año ya superó los 4.000 CVEs de Microsoft y aún quedan dos meses por delante. Si administro servidores y estaciones de trabajo, esta cifra me dice una cosa clara: el modelo mental de «el martes reviso el boletín completo» ya no sirve para nada.

El dato incómodo: la IA está inflando el conteo

Microsoft le da crédito a los modelos de lenguaje en el hallazgo de bugs a esta escala, y presumiblemente también en generar buena parte de los parches. O sea, la IA encuentra vulnerabilidades que la IA ayuda a arreglar. Círculo cerrado.

Mi lectura es ambivalente. Por un lado, bacán que se destapen cosas que antes se habrían quedado dormidas hasta que un actor malicioso las encontrara primero. Por otro lado, dudo que todos esos hallazgos tengan la misma calidad que cuando los revisaba un investigador con criterio. Cuando el volumen se dispara, tiende a subir tanto el ruido como la señal, y distinguirlos no es gratis.

Lo que importa de verdad: solo 26 en el catálogo de explotados

Aquí va mi opinión más concreta. Entre las 1.400 weas de este mes, solo una era un cero-day explotado activamente (CVE-2026-96951, un bypass del Windows Shell). Hay además un bypass de .NET que se disclosed antes de tiempo, o sea con ventaja para el atacante, pero sin explotación confirmada. Y de todo el año, apenas 26 vulnerabilidades de Microsoft han terminado en el catálogo de vulnerabilidades explotadas que lleva CISA. Es decir, el riesgo real se concentró en una fracción ínfima del conteo total.

Los expertos en seguridad llevan meses advirtiendo que estas oleadas gigantes ponen presión insostenible sobre los equipos corporativos, que tienen que testear cada actualización antes de desplegarla para no romper el resto del software. Sobre esa parte tengo una opinión formada de primera mano: cuando yo administro mis VPS, priorizo por dos preguntas simples. ¿Está siendo explotado en la práctica? ¿Está expuesto este servidor a ese vector? Si la respuesta es no a ambas, el parche entra en la cola normal, no corta mi semana. Parchear por titulares es la receta para romper producción un viernes.

Lo que aplico yo esta semana

Mi rutina no cambió mucho con la estampida de CVEs, pero se volvió más estricta en dos cosas: parcheo lo explotado inmediatamente y lo demás en ventanas programadas, y no dejo que el conteo me asuste. Los 78 fixes «críticos» de este mes en su mayoría piden interacción mínima o nula del usuario, y eso me importa solo en las máquinas con escritorio, no en mis servidores headless.

Si tu equipo sigue en Windows 10, te aviso que Microsoft extendió el soporte gratuito hasta octubre de 2027, así que no entres en pánico todavía. Pero si administras infraestructura, ya sea tu propio VPS o una pega en una empresa grande, el mensaje de fondo es que la cantidad de bugs publicados va a seguir creciendo, la IA la acelera en ambas direcciones, y tu única defensa sana es priorizar por explotación y exposición, nunca por el titular del día.

No lo veo como mala noticia, en realidad. Prefiero mil CVEs visibles antes que uno callado. Lo malo es que nadie tiene capacidad operativa para digerir mil, y ahí es donde la IA como generadora de ruido tiene que compensarse con IA como filtro, o el humano que termina leyendo el boletín completo a las seis de la mañana soy yo.

Fuente de inspiración: Microsoft Patches More Than 1,400 Security Flaws