Patch Tuesday alcanza un récord de 206 CVE

La actualización del martes de parches de junio de 2026 de Microsoft, con correcciones para un récord de 206 CVE únicos, es la última señal de lo que se está convirtiendo rápidamente en la nueva normalidad para las organizaciones a medida que la IA acelera la detección de vulnerabilidades.

Tres de las vulnerabilidades de la actualización de Mammoth son errores de día cero ya conocidos. Son parte de un grupo más grande de 13 vulnerabilidades que Microsoft ha señalado como «más propensas a ser explotadas», lo que indica un mayor riesgo a corto plazo para las organizaciones. La actualización también contiene 32 vulnerabilidades de gravedad crítica, cinco de las cuales tienen una puntuación CVSS de 9,0 o superior en una escala de 10 puntos.

Tres errores previamente revelados y otros de alta prioridad

Últimamente, un alto porcentaje de vulnerabilidades se encuentran en el liberar Estas son vulnerabilidades RCE (ejecución remota de código) o errores EoP (elevación de privilegios). Otros tipos de vulnerabilidades relativamente raros incluyen aquellas que permiten la denegación de condiciones de servicio, el robo de datos y la elusión de funciones de seguridad.

Relacionado:Una falla en Microsoft Exchange permite a los atacantes falsificar cualquier dirección de correo electrónico

Los investigadores de seguridad señalaron que las tres vulnerabilidades reveladas anteriormente son problemas que merecen atención inmediata. Las tres deficiencias incluyen: CVE-2026-45586 (CVSS: 7.8), una falla de EoP en el Marco de traducción colaborativa de Windows (CTFMON) que los atacantes pueden aprovechar para obtener privilegios a nivel de SISTEMA; CVE-2026-49160 (CVSS: 7.5), un error de denegación de servicio en Windows.sys; y CVE-2026-50507 (CVSS: 6.8), que permite eludir la función de seguridad BitLocker de Microsoft.

Amol Sarwate, jefe de investigación de seguridad de Cohesity, identificó dos vulnerabilidades de gravedad casi máxima como principales prioridades en el comunicado de este mes. Uno de ellos es un error RCE en Windows HTTP.sys. CVE-2026-47291 (CVSS: 9,8); el otro es CVE-2026-44815 (CVSS: 9.8) en el servicio Cliente DHCP de Windows. “CVE-2026-47291 debería ser una máxima prioridad «CVE-2026-44815 entra en la misma categoría porque el cliente DHCP se ejecuta prácticamente en todos los terminales de Windows, lo que le proporciona una enorme superficie de ataque».

investigadores en Acción1 Contiene dos errores críticos de RCE en el componente de gráficos de Windows: CVE-2026-44812 (CVSS: 7.8) y CVE-2026-44803 (CVSS: 7.8) – y CVE-2026-42987 (CVSS: 8.1), un RCE en los Servicios de implementación de Windows, como errores que merecen mucha atención. La empresa describió CVE-2026-44812 como «Puerta al compromiso total del sistema” y CVE-2026-44803 como una forma de que una única acción de vista previa “abra la puerta a la ejecución del código”.

Relacionado:Los atacantes rusos utilizan errores de WinRAR como arma contra organizaciones ucranianas

En particular, la actualización de junio de Microsoft no parecía contener correcciones para varias vulnerabilidades reveladas recientemente por un investigador de seguridad descontento llamado Nightmare Eclipse. Las vulnerabilidades se rastrean como YellowKey, GreenPlasma y MiniPlasma Habilite una variedad de acciones maliciosas, incluida la elusión de funciones de seguridad y la escalada de privilegios.

¿Un presagio siniestro?

El lanzamiento del martes de parches de junio de 2026 de Microsoft es significativamente mayor que el récord anterior de 175 CVE octubre 2025. El mes pasado, Tom Gallagher, vicepresidente de ingeniería de Microsoft, advirtió contra lanzamientos de esta magnitud. podría convertirse en la nueva normalidadporque las herramientas de IA permiten la detección de vulnerabilidades a un ritmo y escala previamente desconocidos.

«Estoy bastante seguro de que los días de 50 a 70 CVE en un lanzamiento del martes de parches han quedado atrás», dice Satnam Narang, ingeniero de investigación senior de Tenable. «Espero que al menos 100 CVE por mes se conviertan en la norma durante el resto de 2026 y más allá», predice en comentarios a Dark Reading.

Para los equipos de seguridad, el desafío es qué tan rápido los atacantes pueden convertir en armas N-Day o vulnerabilidades conocidas a medida que los modelos de IA como Claude Mythos, GPT 5.5 y DeepSeek v4 se vuelven más accesibles, dice. «Estos avances no sólo reducen la barrera de entrada para una empresa individual, sino también los costes».

Relacionado:Vulnerabilidad de Check Point VPN explotada desde principios de mayo

Tyler Reguly, subdirector de investigación y desarrollo de seguridad de Fortra, advierte a las empresas que no se dejen intimidar por el gran volumen de parches. “Aunque tenemos 206 CVE este mes, sólo tres de ellos han sido divulgados públicamente y ninguno figura como explotado”, señala a Dark Reading. «Esto significa que el reloj ahora está comenzando a desarrollar activamente exploits y si hay que creer en el reloj de día cero, el tiempo promedio para explotar será de 21,5 horas».

Mantenga las cosas en perspectiva

Sin embargo, basándose en precedentes anteriores, la realidad es que la mayoría de estos CVE nunca se explotan, añade Reguly. Las estadísticas disponibles sobre CVE muestran que 28 de ellos terminaron en la lista de vulnerabilidades explotadas conocidas (KEV) de CISA en 2023; 32 en 2024; y 30 en 2025. “Es un promedio bastante claro de 30 CVE por año, o 2,5 CVE por mes”, afirma. En lo que va de 2026, 15 CVE han creado KEV y si las tres vulnerabilidades divulgadas públicamente terminan en el catálogo en la actualización de junio, todavía habría un total de 18 a mediados de año, o un promedio de tres por mes. «No estamos tan lejos del promedio. Entonces, sí, la IA hace una diferencia, pero hasta ahora es una pequeña diferencia».

Para los equipos de seguridad, el mensaje es que necesitan volver a lo básico, afirma Reguly. “No se puede llegar a un entorno seguro con tanto esfuerzo, pero ese es sólo un nivel”, subraya. “Se pueden reforzar los sistemas y aplicar protección de endpoints con tecnologías como… [endpoint detection and response, or EDR] Y [data loss prevention, or DLP]y puede monitorear los registros de su sistema”.

Justin Fier, vicepresidente senior de Darktrace, comparte pensamientos similares. Las empresas pueden esperar un aumento en el volumen de vulnerabilidades debido a la detección de vulnerabilidades impulsada por IA. «Que haya más de 200 parches cada mes es menos importante que el hecho de que los equipos de seguridad se enfrentan a un flujo mayor y más continuo de vulnerabilidades que requieren evaluación y acción».

Sin embargo, eso no significa que cada vulnerabilidad revelada se convierta inmediatamente en un exploit funcional. «Para los equipos de seguridad empresarial, la lección no es simplemente aplicar parches más rápido. Los parches seguirán siendo importantes, pero por sí solos no serán suficientes», señala. Las empresas deben asumir que algunas vulnerabilidades se encontrarán y explotarán más rápido de lo que pueden repararse. «Esto significa que los equipos de seguridad y TI necesitan una mayor visibilidad de sus entornos, una priorización más clara y una automatización más segura para que puedan responder a la velocidad y escala que exige el entorno».