Microsoft corrige dos zero-days de Windows explotados activamente en su actualización de septiembre

Microsoft publicó su actualización de seguridad de septiembre y confirmó explotación activa de dos vulnerabilidades locales de Windows. CVE-2026-85880 afecta Advanced Local Procedure Call mediante un desbordamiento de búfer, mientras CVE-2026-81963 reside en Windows Update Stack por una resolución insegura de enlaces antes de acceder a archivos.

Ambas fallas permiten que un atacante que ya ejecuta código con pocos privilegios eleve su acceso a SYSTEM. CVE-2026-85880 también puede emplearse para escapar de un AppContainer sin interacción adicional del usuario.

Estas vulnerabilidades no proporcionan por sí solas el acceso inicial remoto, pero son especialmente valiosas después de phishing, robo de credenciales o explotación de otra aplicación. El nivel SYSTEM facilita desactivar controles, instalar persistencia, extraer credenciales y desplazarse hacia otros equipos.

CISA incorporó ambos CVE a su catálogo de vulnerabilidades explotadas y estableció el 22 de septiembre de 2026 como fecha de remediación para las agencias federales estadounidenses. Esa incorporación constituye una señal práctica para priorizar los activos Windows de cualquier organización.

La actualización mensual cubre además fallas críticas en servicios y aplicaciones empresariales, por lo que el despliegue debe basarse en exposición, criticidad y capacidad de recuperación. La explotación confirmada de los dos zero-days justifica acelerar el ciclo habitual.