El parche más grande en la historia de Microsoft y 22.000 Exchange expuestos

El 8 de septiembre de 2026, Microsoft publicó el paquete de parches más grande de su historia: 966 fallos corregidos, de los cuales 105 son críticos y 81 de esos críticos permiten ejecución remota de código. Para dimensionarlo, en julio habían sido 570 y en agosto 400.

Dos de esos fallos ya estaban siendo explotados cuando salió el parche. Y hay un segundo frente abierto: cerca de 22.000 servidores Exchange en el mundo siguen sin aplicar el parche de agosto, con un exploit funcional circulando en internet.

No es una noticia para el equipo de seguridad únicamente. Si tu empresa corre Windows Server, SQL Server, Office o Exchange en sus propios servidores, esto define qué hacer esta semana.

Qué trae el parche de septiembre

El paquete cubre Windows, Office (Word, Excel, PowerPoint, Outlook, SharePoint), Azure, Exchange Server y componentes gráficos, entre otros. Los dos fallos que ya estaban siendo explotados son:

• CVE-2026-81963, en el stack de Windows Update: permite a un atacante obtener privilegios de SYSTEM, es decir, control total del equipo.
• CVE-2026-85880, un desbordamiento de memoria en el mecanismo de llamadas locales de Windows (ALPC), que también escala privilegios de forma local.

Los dos son de escalada de privilegios, no de entrada remota. Eso importa para priorizar: no sirven para entrar a tu red, sirven para que quien ya entró se convierta en administrador. Suelen ser la segunda pieza de un ataque, después de un correo con malware o una credencial robada.

Un detalle que genera confusión: cada medio reportó una cifra distinta (964, 966, 973, 974). No es contradicción, es metodología de conteo: algunos incluyen avisos de terceros y navegadores, otros solo lo publicado ese día. El orden de magnitud es el mismo y la conclusión no cambia.

El problema de Exchange es más serio

En paralelo, CVE-2026-62911 afecta a Exchange Server instalado en servidores propios. Es un bypass de autenticación con puntaje CVSS de 8.0 que permite elevar privilegios a través de la red.

Los hechos, en orden:

• Microsoft publicó la corrección el 11 de agosto de 2026.
• Según los escaneos diarios de la Shadowserver Foundation, casi 22.000 servidores seguían sin parchar a comienzos de septiembre. Estados Unidos encabeza la lista con 6.200 y Alemania con 5.100.
• El centro nacional de ciberseguridad de Países Bajos advirtió que ya circula un exploit funcional y que el código está publicado abiertamente.

Aquí hay un agravante que conecta con el calendario de fin de soporte: buena parte de esos servidores corre Exchange 2016 y 2019, versiones que ya salieron de soporte estándar y que requieren el programa de actualizaciones extendidas para seguir recibiendo parches. Un servidor de correo sin parches, expuesto a internet y con exploit público disponible, es de los activos más atractivos que existen para un atacante: contiene toda la correspondencia de la empresa.

Qué hacer esta semana

Cinco pasos concretos, en orden de urgencia:

1. Confirma si tienes Exchange propio. Si tu correo es Microsoft 365 o Google Workspace, este punto no te aplica. Si hay un servidor Exchange en tu oficina o en un centro de datos, es la prioridad número uno.
2. Revisa la fecha del último parche en tus servidores Windows. No basta con “tenemos Windows Server actualizado”: la pregunta es de qué mes es el último parche aplicado.
3. Prioriza lo expuesto a internet. Primero lo que se alcanza desde afuera (correo, VPN, portales), después lo interno.
4. Define una ventana de mantenimiento mensual. Un paquete de casi mil correcciones no se aplica en un viernes a las cinco de la tarde. Si no existe una ventana fija, cada parche compite con la operación y siempre pierde.
5. Cruza este ejercicio con tu calendario de fin de soporte. Si un servidor ya está fuera de soporte, parchar es un alivio temporal: la decisión de fondo es actualizarlo o migrar el servicio.

Para el paso 5 publicamos un calendario de fin de soporte con las fechas de .NET, SQL Server, Windows Server, Angular y Node.js, cada una verificada contra la fuente oficial del fabricante.

Lo que deja esta semana

Dos lecturas para quien decide, más allá de los CVE puntuales.

La primera: el volumen de parches crece y no va a bajar. Pasar de 400 a 966 correcciones en un mes indica que aplicar parches a mano, cuando alguien se acuerda, dejó de ser viable. Hace falta inventario de versiones, ventana fija y responsable con nombre propio.

La segunda: el software que ya no tiene soporte concentra el riesgo. Los 22.000 Exchange expuestos no son empresas descuidadas por definición; en muchos casos son organizaciones que postergaron una migración porque “el servidor funciona”. Funciona hasta que hay un exploit público y tu correo queda a la vista.

Si quieres revisar qué versiones corren hoy en tu empresa y cuáles tienen fecha de vencimiento cerca, conversemos en un diagnóstico de 30 minutos. Te decimos qué es urgente y qué puede esperar, aunque no trabajemos juntos.