Microsoft publica un récord de 570 correcciones de seguridad en julio

Microsoft ha publicado actualizaciones para al menos 570 vulnerabilidades de seguridad en Windows y otros productos, casi tres veces el total de su anterior Patch Tuesday récord del mes pasado. La compañía dijo que este aumento refleja cómo el descubrimiento de vulnerabilidades asistido por IA está encontrando más fallos, más rápido.

Casi 60 de los fallos de julio fueron calificados como críticos, lo que significa que atacantes o malware podrían tomar el control remoto de una máquina Windows con poca o ninguna interacción del usuario. Microsoft también corrigió tres vulnerabilidades de día cero, incluidas dos que ya están siendo explotadas en la naturaleza.

Entre los zero-days hay dos fallos de elevación de privilegios: CVE-2026-56155, que afecta a Active Directory Federation Services, y CVE-2026-56164, una vulnerabilidad de Microsoft SharePoint. Microsoft también parcheó aproximadamente 250 otras vulnerabilidades de elevación de privilegios este mes. Un tercer zero-day, CVE-2026-50661, es una omisión de la función de seguridad BitLocker de Windows que podría exponer datos cifrados si un atacante tiene acceso físico al dispositivo. Microsoft indicó que esa vulnerabilidad ha sido divulgada públicamente pero no tiene constancia de una explotación activa.

Recomendado

Anthropic descubre que Claude Code se usó en un ataque mayormente automatizado

En una publicación de blog del 9 de julio, Pavan Davuluri, vicepresidente ejecutivo de Microsoft, dijo que los clientes deben esperar un “mayor volumen de actualizaciones de seguridad” en el futuro.

"The pace of vulnerability discovery is changing with advances in AI making it possible to find more issues, faster, across more code, with new mechanisms that can accelerate both discovery and analysis,"

Vulnerabilidades de día cero y fallo en Copilot

Jack Bicer, director de investigación de vulnerabilidades en Action1, destacó CVE-2026-48561, un fallo de ejecución remota de código en Microsoft Copilot con una puntuación CVSS de 9,6. Según Microsoft, un atacante podría explotarlo alojando un sitio web malicioso que haga que Microsoft Edge para Android envíe automáticamente indicaciones manipuladas a Copilot cuando un usuario visite la página.

El informe también señala un problema creciente para los defensores: las mismas herramientas que aceleran el descubrimiento de vulnerabilidades también pueden ayudar a los atacantes a convertir fallos divulgados en exploits funcionales más rápidamente.

Calificaciones de explotabilidad bajo presión

Satnam Narang, ingeniero de investigación sénior en Tenable, sostuvo que el índice de explotabilidad de larga data de Microsoft está teniendo dificultades para mantenerse al día. Señaló que Microsoft calificó inicialmente el zero-day de SharePoint como “menos probable” de ser explotado, aunque fue añadido a la lista de Vulnerabilidades Conocidas Explotadas (Known Exploited Vulnerabilities) de CISA el 1 de julio.

"Anthropic’s Red Team’s own findings for known vulnerabilities (n-days) revealed how fragile this system has become, with its Mythos Preview model being able to produce proof-of-concept exploits for 13 of 14 vulnerabilities that were rated 'Exploitation Less Likely' or 'Exploitation Unlikely,'"

"What this means is that our way of looking at Patch Tuesday has changed, because the exploitability index is centered around humans, not AI tools, and as these tools continue to improve, defense needs to improve alongside it."

Chris Goettl, de Ivanti, dijo que el total récord de parches de Microsoft llega mientras otros grandes proveedores también aumentan la frecuencia de sus lanzamientos. Adobe anunció hoy que pasará a publicar boletines de seguridad dos veces al mes, el segundo y el cuarto martes de cada mes, citando igualmente la IA. Cisco, Mozilla y Oracle también actualizan con mayor frecuencia, mientras que los lotes de parches de Google de junio de 2026 sumaron más de 900 correcciones de seguridad.

La fuente recomienda hacer copias de seguridad de los sistemas Windows o de los datos antes de instalar las actualizaciones. Dado el tamaño del paquete de este mes, puede ser prudente que los usuarios finales esperen unos días antes de aplicar los parches, ya que las correcciones de seguridad a veces pueden introducir problemas de estabilidad.