Microsoft acaba de soltar su Patch Tuesday de marzo 2026 con correcciones para 79 vulnerabilidades, incluyendo 2 zero-days públicamente divulgados y un fallo particularmente inquietante que afecta a Microsoft Copilot. Si administras sistemas Windows en tu empresa, deja lo que estés haciendo y actualiza.
Los números del mes
- 79 vulnerabilidades corregidas en total
- 3 clasificadas como Críticas (2 de ejecución remota de código, 1 de filtración de información)
- 2 zero-days divulgados públicamente (aunque ninguno explotado activamente… que sepamos)
- Afecta a: Windows 11, SQL Server, Office, .NET, Active Directory, Azure y más
Los dos zero-days
SQL Server: escalada de privilegios
El primero es un fallo de control de acceso inadecuado en SQL Server que permite a un atacante autorizado escalar a privilegios de SQLAdmin a través de la red. Traducción: alguien con acceso legítimo pero limitado puede convertirse en administrador de tu base de datos. Descubierto por Erland Sommarskog, que llevaba tiempo documentándolo públicamente en su artículo sobre permisos en procedimientos almacenados.
Si tu empresa usa SQL Server (y seamos sinceros, media España lo usa), esto debería preocuparte.
.NET: denegación de servicio
El segundo zero-day es una lectura fuera de límites en .NET que permite a un atacante no autenticado provocar una denegación de servicio a través de la red. Menos dramático que el anterior, pero si tus servicios web corren sobre .NET, un atacante puede tumbarlos sin necesidad de credenciales.
El fallo estrella: Copilot como vector de exfiltración
Aquí viene lo realmente jugoso. CVE-2026-26144 es una vulnerabilidad de divulgación de información en Microsoft Excel que, según la propia Microsoft, podría usarse para exfiltrar datos a través de Microsoft Copilot.
Cito textualmente a Microsoft: “Un atacante que explotase con éxito esta vulnerabilidad podría hacer que el modo Agente de Copilot exfiltrase datos mediante tráfico de red no intencionado, permitiendo un ataque de divulgación de información sin interacción del usuario”.
Léelo otra vez: zero-click. Sin que el usuario haga nada. Copilot Agent, esa herramienta que Microsoft está metiendo en cada rincón de Office 365, puede ser manipulada para sacar datos de tu organización sin que nadie se entere.
Para las empresas que han adoptado Copilot con entusiasmo (y Microsoft ha empujado muy fuerte en España con su despliegue), este fallo debería ser una llamada de atención seria. La IA integrada en herramientas de productividad abre superficies de ataque que antes no existían.
Office: ejecución remota desde el panel de vista previa
Dos fallos de ejecución remota de código en Microsoft Office (CVE-2026-26110 y CVE-2026-26113) pueden explotarse simplemente previsualizando un documento en el panel de vista previa de Outlook o el explorador de archivos. No necesitas abrir el archivo. Solo que tu cliente de correo lo renderice.
Este tipo de vulnerabilidades son las favoritas de los atacantes porque el usuario no tiene que hacer absolutamente nada. Recibes un email, tu cliente lo previsualiza, y ya estás comprometido.
Azure: contenedores confidenciales comprometidos
Para los que usan Azure Container Instances, hay dos fallos críticos de escalada de privilegios en contenedores confidenciales (CVE-2026-23651 y CVE-2026-26124). Si estás ejecutando cargas de trabajo sensibles en ACI pensando que los contenedores confidenciales te protegen… actualiza antes de seguir asumiendo eso.
Qué hacer ahora
- Actualiza Windows inmediatamente — KB5079473 para Windows 11 24H2, KB5078883 para 23H2
- Prioriza Office — los fallos de vista previa son especialmente peligrosos
- Revisa tu exposición a Copilot — si lo tienes desplegado, asegúrate de que las políticas de DLP están configuradas correctamente
- Parchea SQL Server — especialmente si hay usuarios con acceso de red
- Audita Azure ACI — si usas contenedores confidenciales, aplica los parches de Azure
La reflexión
Este Patch Tuesday es particularmente revelador porque muestra una tendencia preocupante: la IA como superficie de ataque. El fallo de Copilot no es un bug cualquiera — es una demostración de que integrar asistentes de IA en herramientas de productividad crea vectores de exfiltración que antes eran impensables.
Microsoft lleva meses vendiendo Copilot como la revolución de la productividad empresarial. Y lo es. Pero también es una puerta trasera potencial si no se gestiona correctamente. Las empresas que lo desplegaron sin revisar las implicaciones de seguridad deberían tomarse este parche como un aviso.
79 fallos, 2 zero-days, y un agente IA que puede robar tus datos sin que hagas clic. Solo otro martes en el maravilloso mundo de la ciberseguridad.