Microsoft parchea 972 vulnerabilidades en septiembre, 112 críticas
La compañía rompe su propio récord por tercer mes consecutivo y corrige 112 fallos críticos. La ventana entre la publicación del parche y su exploit ya se mide en horas.
Microsoft ha cerrado septiembre con parches para alrededor de 972 vulnerabilidades en Windows y el resto de su software, 112 de ellas de severidad crítica. Es el mayor boletín de su historia y llega después de dos meses que ya eran récord: 570 fallos corregidos hace dos meses y unos 620 el mes pasado. No es un caso aislado. Google y otras compañías también han publicado volúmenes inéditos de vulnerabilidades en los últimos meses.
De dónde salen tantos fallos
El origen está en la propia IA. Las herramientas de análisis automático de código están encontrando fallos a un ritmo que ningún equipo humano de revisión puede igualar, y eso acaba saliendo por el boletín de cada mes. Hace dos semanas, OpenAI, Anthropic, Amazon Web Services, Google, Microsoft y un centenar de empresas y organizaciones firmaron la carta abierta en la que avisaban de que la ventana para parchear se está cerrando ante una avalancha esperada de ataques asistidos por IA que explotan los fallos antes que nadie. La respuesta de la industria está siendo exactamente esa: publicar correcciones en cantidades sin precedentes.
El efecto secundario es menos agradable. Un modelo de IA también es bueno reconstruyendo un exploit a partir del diff de un parche, así que el margen entre la actualización y el primer ataque no se mide en días. Se mide en horas. Microsoft lo resume diciendo que el plazo para aplicar es "inmediatamente".
Qué implica operar así
Si el exploit aparece el mismo día, una ventana de parcheo mensual deja sobre la mesa semanas de exposición en cualquier parque de Windows. Eso empuja a adelantar la validación de las actualizaciones, a tener un plan de despliegue en anillos que permita llegar rápido a lo crítico sin romper lo demás, y a mirar la severidad del boletín con más atención que la fecha del calendario. El detalle del boletín de septiembre ayuda a decidir por dónde empezar.
La predicción razonable es que estas cifras sigan subiendo mientras los modelos mejoren buscando fallos, y que empiecen a bajar cuando dejen de quedar vulnerabilidades fáciles que encontrar. Cuánto suben, cuándo se da la vuelta la tendencia y a qué velocidad cae después es, hoy, una incógnita. Lo que ya se sabe es que el ritmo de corrección marca el ritmo al que hay que actualizar, y ese ritmo no tiene pinta de frenarse.
