Microsoft Patch Tuesday de julio de 2026: el mayor boletín de seguridad de la historia
Microsoft ha publicado las actualizaciones de seguridad de julio de 2026 corrigiendo un número récord de vulnerabilidades, incluidas varias críticas y tres vulnerabilidades de día cero (zero-day), dos de ellas explotadas activamente antes del lanzamiento de los parches.
¿Qué es el Patch Tuesday de Microsoft?
El Patch Tuesday es el nombre con el que se conoce al lanzamiento mensual de actualizaciones de seguridad de Microsoft. Habitualmente se publica el segundo martes de cada mes e incluye correcciones para Windows, Microsoft Office, SharePoint,.NET, SQL Server, Hyper-V, Azure y otros productos de la compañía.
Estas actualizaciones no solo solucionan errores de funcionamiento, sino que también corrigen vulnerabilidades que podrían permitir a un atacante ejecutar código malicioso, elevar privilegios o acceder a información confidencial.
Julio de 2026 bate todos los récords
La actualización de julio de 2026 pasará a la historia por convertirse en el mayor Patch Tuesday publicado por Microsoft hasta la fecha.
Según el Microsoft Security Response Center (MSRC), este lanzamiento incluye centenares de vulnerabilidades corregidas, una cifra nunca vista anteriormente. Dependiendo del criterio utilizado para contabilizar las vulnerabilidades (solo Microsoft o incluyendo Chromium/Edge), distintos análisis sitúan el total entre 570 y 622 vulnerabilidades.
Entre ellas destacan:
| Tipo de vulnerabilidad | Cantidad aproximada |
|---|---|
| Elevación de privilegios | 254 |
| Ejecución remota de código (RCE) | 145 |
| Divulgación de información | 102 |
| Denegación de servicio | 35 |
| Suplantación (Spoofing) | 16 |
| Bypass de características de seguridad | 17 |
Además, Microsoft clasificó 59 vulnerabilidades como críticas, la mayoría relacionadas con la ejecución remota de código.
Tres vulnerabilidades zero-day
Uno de los aspectos más preocupantes del boletín de julio es la presencia de tres vulnerabilidades zero-day, es decir, fallos conocidos públicamente antes de existir un parche.
Dos de ellas estaban siendo explotadas activamente.
CVE-2026-56155
Esta vulnerabilidad afecta a Active Directory Federation Services (AD FS).
Permite que un atacante autenticado eleve sus privilegios hasta obtener permisos administrativos sobre el servidor afectado.
Aunque su puntuación CVSS no es especialmente elevada, Microsoft confirmó que ya estaba siendo utilizada en ataques reales antes de publicar la actualización.
CVE-2026-56164
Otra de las vulnerabilidades más importantes afecta a Microsoft SharePoint Server.
El fallo permite una elevación de privilegios mediante una comprobación insuficiente de autenticación, lo que supone un riesgo especialmente alto para servidores SharePoint expuestos a Internet.
Microsoft recomienda instalar el parche inmediatamente y, adicionalmente, habilitar AMSI (Antimalware Scan Interface) junto con el modo Request Body Scan = Full como medida de mitigación.
CVE-2026-50661
La tercera zero-day afecta a BitLocker.
En este caso se trata de una vulnerabilidad de bypass de características de seguridad que había sido divulgada públicamente antes de disponer de una actualización oficial.
Su explotación requiere acceso físico al dispositivo, pero podría permitir acceder a información protegida por BitLocker en determinadas circunstancias.
Vulnerabilidades críticas destacadas
Además de las zero-day, Microsoft solucionó numerosas vulnerabilidades críticas con potencial para comprometer sistemas corporativos.
Entre las más relevantes destacan:
- Microsoft Windows VMSwitch
- Microsoft Entra Provisioning Service
- Windows Remote Desktop Services
- Windows DHCP Server
- Windows DNS Server
- Microsoft Office
- SQL Server
- Hyper-V
- SharePoint Server
Varias de estas vulnerabilidades permiten ejecución remota de código sin interacción del usuario, uno de los escenarios más peligrosos desde el punto de vista de la seguridad informática.
Productos afectados
Las actualizaciones de julio abarcan prácticamente todo el ecosistema Microsoft, incluyendo:
- Windows 10
- Windows 11
- Windows Server
- Microsoft Office
- SharePoint Server
- Active Directory Federation Services
- Hyper-V
- .NET
- Visual Studio
- SQL Server
- Microsoft Edge
- Azure y diversos servicios empresariales
La amplitud del boletín refleja el elevado volumen de investigación de vulnerabilidades que Microsoft está realizando durante 2026.
¿Por qué este boletín es tan grande?
Microsoft explicó hace unos meses que el aumento del número de vulnerabilidades corregidas no implica necesariamente que sus productos sean menos seguros.
La compañía atribuye este incremento a varios factores:
- mayor automatización de las revisiones de código;
- aumento de la investigación interna;
- crecimiento del programa de divulgación responsable;
- utilización de herramientas basadas en inteligencia artificial para localizar vulnerabilidades.
Como consecuencia, ahora se detectan y corrigen muchos más fallos antes de que puedan ser aprovechados por atacantes.
Recomendaciones para usuarios
Si utilizas Windows en casa, lo más recomendable es:
- Instalar Windows Update cuanto antes.
- Reiniciar el equipo si la actualización lo solicita.
- Mantener Microsoft Defender activo.
- No retrasar las actualizaciones de seguridad durante largos periodos.
La mayoría de usuarios recibirán las actualizaciones automáticamente mediante Windows Update.
Recomendaciones para empresas
Los administradores de sistemas deberían priorizar especialmente:
- servidores SharePoint;
- servidores AD FS;
- controladores de dominio;
- servidores Hyper-V;
- servidores RDP expuestos;
- infraestructuras críticas.
También resulta recomendable validar previamente las actualizaciones en un entorno de pruebas antes del despliegue masivo, especialmente en organizaciones con aplicaciones críticas.
Cómo instalar las actualizaciones
Para instalar las correcciones basta con:
- Abrir Configuración → Windows Update.
- Pulsar Buscar actualizaciones.
- Instalar todas las actualizaciones disponibles.
- Reiniciar el equipo.
Los administradores pueden utilizar igualmente WSUS, Microsoft Intune, Microsoft Configuration Manager o descargar manualmente los paquetes desde el Microsoft Update Catalog.
Conclusión
El Patch Tuesday de julio de 2026 representa un hito para Microsoft al convertirse en el mayor boletín de seguridad publicado por la compañía hasta la fecha. La corrección de cientos de vulnerabilidades, incluidas varias críticas y tres zero-day —dos de ellas explotadas activamente— demuestra la importancia de mantener Windows y el resto del software de Microsoft completamente actualizados.
Para usuarios domésticos la recomendación es sencilla: instalar las actualizaciones lo antes posible. En entornos empresariales, la prioridad debe centrarse en los sistemas expuestos a Internet y en los servidores que ejecutan servicios críticos como SharePoint o Active Directory Federation Services, donde el impacto de una explotación podría ser especialmente grave.