Microsoft lanzó una actualización récord con parches para 206 vulnerabilidades de seguridad, de las cuales 39 son críticas. Los fallos incluyen ejecución remota de código y saltos de seguridad en BitLocker, algunos de los cuales ya habían sido expuestos públicamente. Expertos sugieren que este volumen masivo de correcciones se debe al uso de inteligencia artificial para descubrir vulnerabilidades a gran escala.

Microsoft lanzó el martes correcciones para un récord de 206 vulnerabilidades de seguridad que afectan a su cartera de software, incluyendo tres fallos que habían sido revelados públicamente en el momento del lanzamiento enlace.

De los 206 fallos, 39 están calificados como Críticos y 167 como Importantes en severidad. Esto incluye 63 de escalada de privilegios, 56 de ejecución remota de código, 30 de divulgación de información, 27 de suplantación de identidad (spoofing), 20 de omisión de funciones de seguridad, siete de denegación de servicio y tres vulnerabilidades de manipulación.

Los parches también incluyen dos CVE ajenos a Microsoft: una vulnerabilidad de escalada de privilegios que afecta al Kernel de Windows (CVE-2025-10263) y una omisión de la función de seguridad de UEFI Secure Boot enlace (CVE-2026-8863). Estas se suman a más de 350 fallos de seguridad que Google ha solucionado en Chromium, utilizado en el navegador Edge de Microsoft.

Encabezando la lista de correcciones está el CVE-2026-45657 (puntuación CVSS: 9.8), un fallo de uso posterior a la liberación (use-after-free) que afecta al Kernel de Windows y que podría resultar en la ejecución remota de código.

"Un atacante podría explotar esta vulnerabilidad enviando tráfico de red especialmente diseñado a un sistema Windows vulnerable", afirmó Microsoft. "Si tiene éxito, los paquetes de red maliciosos podrían activar un fallo en la forma en que el kernel de Windows procesa ciertos datos TCP/IP, permitiendo potencialmente que el atacante ejecute código con privilegios de nivel de sistema sin necesidad de iniciar sesión o interactuar con un usuario".

Otras vulnerabilidades importantes

• * CVE-2026-47291 (puntuación CVSS: 9.8) - Un fallo de desbordamiento de enteros en Windows HTTP.sys que permite a un atacante no autorizado ejecutar código a través de una red.
• * CVE-2026-44815 (puntuación CVSS: 9.8) - Una vulnerabilidad de desbordamiento de búfer basado en pila en el Cliente DHCP de Windows que permite a un atacante no autorizado ejecutar código a través de una red.

"Este fallo no requiere credenciales ni acción del usuario y puede convertir el tráfico de red en un compromiso total del sistema", dijo Alex Vovk, CEO y cofundador de Action1 enlace sobre el CVE-2026-44815. "Un atacante podría enviar tráfico de red especialmente diseñado a un sistema configurado para servicios DHCP".

"La explotación exitosa podría permitir la ejecución de código no autorizado a través de la red con un alto impacto en la confidencialidad, integridad y disponibilidad. Esta vulnerabilidad crea un riesgo serio porque DHCP es una función central de la red. La explotación exitosa podría llevar al compromiso del servidor, despliegue de malware, robo de datos, interrupción del servicio y movimiento más profundo en la red. Los sistemas que manejan tráfico DHCP deben ser tratados como objetivos de parcheo de alta prioridad".

Microsoft también ha lanzado parches para solucionar el CVE-2026-45585 (puntuación CVSS: 6.8), una vulnerabilidad de omisión de la función de seguridad de Windows BitLocker para la cual el investigador de seguridad Chaotic Eclipse (también conocido como Nightmare-Eclipse) lanzó el mes pasado un exploit de prueba de concepto (PoC) llamado YellowKey.

El CVE-2026-45585 es uno de los varios saltos de funciones seguras que los creadores de Windows han solucionado este mes:

• * CVE-2026-45655 (puntuación CVSS: 5.3)
• * CVE-2026-45658 (puntuación CVSS: 7.8)
• * CVE-2026-50507 (puntuación CVSS: 6.8)

"Un atacante exitoso podría omitir la función de cifrado de dispositivo BitLocker en el dispositivo de almacenamiento del sistema", dijo Microsoft en sus avisos para los tres problemas. "Un atacante con acceso físico al objetivo podría explotar esta vulnerabilidad para obtener acceso a datos cifrados".

Según el investigador de seguridad Will Dormann, el CVE-2026-50507 se evalúa aquí como una corrección para un bypass de BitLocker apodado bitskrieg enlace que otorga acceso total a los datos cifrados. Cabe destacar que el CVE-2026-50507, junto con el CVE-2026-49160 y el CVE-2026-45586, figuran como zero-days revelados públicamente.

* CVE-2026-45586 (puntuación CVSS: 7.8) - Vulnerabilidad de escalada de privilegios en Windows Collaborative Translation Framework (CTFMON).
* CVE-2026-49160 (puntuación CVSS: 7.5) - Vulnerabilidad de denegación de servicio de HTTP.sys.

El CVE-2026-49160 está relacionado con HTTP2/Bomb, una técnica de ataque enlace que puede usarse para dejar fuera de servicio los servidores web en segundos. En pruebas realizadas por Calif, se encontró que un servidor IIS agotaba 64 GB de RAM en unos 45 segundos. Para mitigar el ataque, Microsoft ha introducido un nuevo ajuste de registro "MaxHeadersCount" para limitar el número de encabezados en las solicitudes HTTP/2 y HTTP/3.

"Limitar los encabezados HTTP puede ayudar a proteger los sistemas y servidores del uso excesivo de memoria, el alto consumo de CPU y los ataques de denegación de servicio", dijo Microsoft enlace. "Debido a que se utiliza la compresión de encabezados HTTP/2 (HPACK) o HTTP/3 (QPACK) y un procesamiento de protocolo más complejo, imponer un límite de encabezados como MaxHeadersCount puede ayudar a mantener el rendimiento y la fiabilidad".

Por otro lado, se sospecha que el CVE-2026-45586 es una corrección para un exploit de escalada de privilegios zero-day que Chaotic Eclipse lanzó bajo el nombre de GreenPlasma.

Por último, la actualización de junio de 2026 también soluciona MiniPlasma, una vulnerabilidad separada revelada por Chaotic Eclipse como una corrección incompleta para el CVE-2020-17103, que fue abordado originalmente por Microsoft en diciembre de 2020.

"Para abordar integralmente la vulnerabilidad identificada por el CVE-2020-17103 y recientemente referida públicamente como 'MiniPlasma', Microsoft recomienda instalar las actualizaciones de junio de 2026 para tus sistemas operativos Windows", dijo el gigante tecnológico enlace en una actualización de su aviso.

El creciente número de parches se ha atribuido al uso de enfoques de descubrimiento de vulnerabilidades asistidos por inteligencia artificial (IA), una tendencia que Microsoft afirma que continuará en el futuro previsible.

"La proverbial caja de Pandora se ha abierto y, a medida que estén disponibles modelos de IA más avanzados, esperamos que la norma continúe aumentando en general, no solo para el Patch Tuesday", dijo Satnam Narang, ingeniero de investigación senior de Tenable, en un comunicado.

Dustin Childs, responsable de concienciación sobre amenazas en la Zero Day Initiative (ZDI) de TrendAI, describió la caída masiva de vulnerabilidades de Microsoft como un testimonio de cómo la IA está impulsando el descubrimiento de fallos a una escala incontrolable.

"El número actual de CVE enviados por Microsoft este año supera el número total de CVE enviados en todo 2018", dijo Childs. "Es extraordinario que Microsoft pueda producir tantos parches en un solo mes, y espero que muchos evaluadores se pregunten qué problemas de calidad puedan existir".

Los parches llegan mientras Chaotic Eclipse lanzaba un exploit PoC para otro zero-day de Microsoft Defender llamado RoguePlanet, caracterizándolo como una condición de carrera enlace que podría usarse para generar un símbolo del sistema de Windows con privilegios de SYSTEM.

Fuente:
THN