En el trabajo llevo meses con evaluaciones de parcheo CVE como tarea recurrente —generando variables de salida de Octopus Deploy para cada ronda de PowerShell aplicando actualizaciones—, así que cuando Microsoft publicó lo que ya se está llamando el mayor Patch Tuesday de la historia, con 570 vulnerabilidades en una sola actualización mensual, no es una cifra abstracta: es directamente la carga de trabajo que va a caer sobre cualquier equipo de sistemas este mes.
La magnitud, en contexto
El anterior récord rondaba las 300 vulnerabilidades en un único ciclo. Julio de 2026 lo duplica con creces: 570 fallos corregidos, de los cuales 59 están calificados como críticos —48 de ejecución remota de código, 9 de elevación de privilegios—, y tres zero-day, dos de ellos ya explotados activamente antes de que existiera parche disponible. La explicación oficial de Microsoft es, si se confirma con el tiempo, más relevante que la propia cifra: atribuyen el salto a un sistema propio de escaneo con IA multimodelo desplegado sobre el código de Windows, que está encontrando fallos en código antiguo más rápido de lo que los equipos de ingeniería humanos podían hacerlo hasta ahora.
Si la IA está encontrando en semanas vulnerabilidades que llevaban años enterradas en código heredado, la pregunta que de verdad importa no es cuántas se corrigieron este mes — es cuántas quedan todavía por encontrar en el resto del catálogo de Microsoft.
Lo que de verdad importa para quien administra sistemas
Dos de los zero-day explotados activamente afectan a infraestructura crítica de identidad y colaboración empresarial: CVE-2026-56155, una elevación de privilegios en Active Directory Federation Services (AD FS), y CVE-2026-56164, en SharePoint Server, que permite a un atacante no autenticado escalar privilegios en la red. Para cualquier organización que dependa de AD FS para SSO —la inmensa mayoría de entornos corporativos con Microsoft 365—, esto no es un parche más, es una vulnerabilidad que ya se ha usado en ataques reales antes de que existiera corrección. El tercer zero-day, CVE-2026-50661, es un bypass de BitLocker que permite acceder a datos cifrados con acceso físico al dispositivo — divulgado públicamente pero sin explotación confirmada todavía, el mismo patrón que ya vimos meses atrás con el bypass "YellowKey" de BitLocker.
Entre las 59 críticas, dos destacan por su patrón histórico de explotación: CVE-2026-58644 (RCE en SharePoint) y CVE-2026-58608 (RCE en Print Spooler de Windows) — ambas categorías que ransomware y actores estatales han favorecido durante años como vector de entrada.
El riesgo real: encadenamiento, no vulnerabilidades sueltas
Elevación de privilegios sigue siendo la categoría dominante este ciclo (254 de las 570), afectando componentes como el kernel de Windows, DirectX Graphics Kernel y el subsistema Win32K — exactamente el tipo de fallo que un atacante encadena con un punto de entrada inicial para llegar a nivel SYSTEM. Ninguna de estas vulnerabilidades vive aislada: el riesgo real está en las cadenas de ataque que combinan varios fallos de severidad media para conseguir compromiso total, no en un único CVE por separado.
