Resumen

  • Las actualizaciones de seguridad de Microsoft del 8 de septiembre corrigen fallos de escalada de privilegios ya explotados en Windows Update Stack y Advanced Local Procedure Call
  • Que estos fallos hayan sido explotados aporta a los equipos responsables de las actualizaciones información que una cola de parches basada únicamente en las puntuaciones de gravedad pasaría por alto

Los hechos

Microsoft publicó el 8 de septiembre correcciones para dos vulnerabilidades de Windows que, según indicó, ya habían sido explotadas en ataques. CVE-2026-81963 afecta a Windows Update Stack y permite que un atacante que ya tenga acceso a un equipo vulnerable obtenga privilegios superiores mediante el tratamiento inadecuado de un enlace de archivo. CVE-2026-85880 afecta a Windows Advanced Local Procedure Call, que Windows utiliza para la comunicación entre procesos, y puede permitir que un atacante obtenga privilegios SYSTEM.

Ambas vulnerabilidades tienen una puntuación CVSS de 7,8 y Microsoft les asigna la calificación «Importante». Los fallos descritos implican una escalada de privilegios, no un acceso remoto inicial desde Internet. Los informes disponibles no identifican a las organizaciones atacadas, no describen una cadena de intrusión completa ni establecen que todos los sistemas Windows estén afectados.

La evaluación

La aplicación de parches en la empresa es un ejercicio de triaje, no una tabla de puntuaciones. Una vez confirmada la explotación, los equipos deben ir más allá de una simple clasificación por puntuaciones de gravedad y determinar dónde están realmente presentes los componentes vulnerables. Eso implica contrastar los avisos con sus propios equipos y servidores, identificar los servicios empresariales que esos sistemas sustentan y decidir dónde deben acelerarse las pruebas y el despliegue.

Para los lectores de BTW, el requisito de acceso local acota el riesgo sin volverlo irrelevante. La aplicación de parches corrige las vulnerabilidades en los sistemas afectados, pero no permite saber si un atacante las utilizó antes de que se instalara la actualización. Por tanto, los equipos de seguridad y operaciones tienen dos tareas distintas: reducir el tiempo durante el que permanecen expuestos los equipos a los que se aplican las correcciones e investigar los sistemas sospechosos cuando exista la posibilidad de un compromiso previo.

La finalización del parcheado y la evidencia de compromiso responden a preguntas distintas y no deben tratarse como una misma métrica.

Qué vigilar

Habrá que observar si Microsoft o los investigadores de seguridad publican más detalles sobre cómo se explotan las vulnerabilidades y qué configuraciones de Windows están afectadas. En las organizaciones, las medidas más útiles serán la cobertura de los sistemas a los que se aplican las correcciones, las excepciones de parcheado sin resolver y cualquier evidencia de que los fallos se utilizaron antes de instalar las actualizaciones.