Actualización de seguridad de SQL Server: lo que trae el parche de octubre 2026
La actualización de seguridad de SQL Server 2025 CU9 (KB5126967) llegó el 13 de octubre de 2026 y corrige 22 vulnerabilidades, 9 de ellas de ejecución remota de código. Si cuidas instancias con SQL Server 2025, este parche de seguridad de SQL Server merece un lugar en tu agenda.
Aquí te contamos qué arregló Microsoft, qué problemas conocidos trae y cómo instalarlo con calma.
22 vulnerabilidades corregidas, en cuatro tipos
Microsoft agrupa las vulnerabilidades por el tipo de riesgo que representan. Así se reparten en esta actualización.
Ejecución remota de código
Instrucciones ejecutadas a distancia sobre el servidor.
Elevación de privilegios
Obtener más permisos de los que corresponden.
Divulgación de información
Acceso a datos que no deberían verse.
Denegación de servicio
Dejar el servicio sin poder responder.
Además de las vulnerabilidades, la actualización incluye 25 correcciones dentro del motor de SQL Server (SQL Server Engine). En la siguiente sección las ordenamos por área.
Las correcciones, área por área
Sin listas interminables: esto es lo que cambió en cada parte del motor.
Replicación
Es el área con más cambios. Se corrigió un desbordamiento de búfer en la replicación de mezcla cuando procesa más de 250 entradas XML de WebSync. Se reforzaron las comprobaciones de autorización para evitar divulgación de información. También mejoran la seguridad y la confiabilidad del Log Reader Agent en replicación transaccional heterogénea, de la configuración de change feed y del manejo de metadatos al restaurar o actualizar la base del suscriptor.
Backup y Restore
Se refuerza la validación de tamaños en VDI y SQL Writer para evitar accesos de memoria fuera de límites. Se corrigieron lecturas y escrituras fuera de límites en operaciones de respaldo y restauración. Y se arregló un problema de enteros en los metadatos de backup y restore que podía permitir elevación de privilegios local.
PolyBase
Se corrigió un cierre inesperado del proceso al trabajar con orígenes de datos externos. Además, hay mejor validación de datos, se rechazan cargas malformadas, se valida el esquema de las tablas delta y se actualiza el manejo de memoria compartida.
Extensibilidad
Se atienden varias vulnerabilidades de corrupción y divulgación de memoria en el análisis de mensajes del protocolo SQL Satellite. Se corrigió una lectura de memoria no válida en el parámetro de AI_GENERATE_EMBEDDINGS. Y se actualizó el componente de extracción de archivos de terceros para paquetes de lenguajes y bibliotecas externas.
Alta disponibilidad
Ahora se valida el tamaño de los fragmentos FILESTREAM en las réplicas secundarias de los grupos de disponibilidad.
Consultas distribuidas
Se corrigieron fallos en las conexiones de servidores vinculados con MSDASQL cuando la cadena de proveedor no incluye UID.
Programabilidad
El lector de SQL Trace limita el procesamiento de LoginSid al tamaño del búfer interno, para evitar lecturas fuera de límites.
Dos problemas conocidos que conviene tener presentes
Ningún parche llega perfecto. Microsoft documenta estos dos casos para que no te tomen por sorpresa.
1. Servidores vinculados con MSDASQL y cadena de proveedor
Las consultas a servidores vinculados con el proveedor MSDASQL pueden fallar con el error 7416 cuando se especifica una cadena de proveedor (@provstr). La causa es una validación de conexión más estricta, que rechaza configuraciones que antes sí funcionaban.
Qué hacer: prueba tus conexiones antes y después de la actualización. Microsoft tiene un artículo de solución de problemas del error 7416 con alternativas.
2. Consultar sys.dm_exec_requests mientras una base se recupera
Consultar sys.dm_exec_requests durante la recuperación de una base de datos puede hacer que el proceso se reinicie. Puede pasar durante un RESTORE, al iniciar la recuperación o antes de que una réplica de un grupo de disponibilidad termine de conectarse.
Mitigaciones temporales que indica Microsoft:
- Evitar consultar sys.dm_exec_requests en bases de datos que se están recuperando.
- Habilitar el indicador de seguimiento 4696 para revertir el cambio. Con él, las consultas de monitoreo sobre réplicas secundarias pueden devolver los errores 976 o 978, como en versiones anteriores.
- Desinstalar la actualización.
Cuatro formas de obtener la actualización
Para instalarla, necesitas SQL Server 2025 o alguna de sus actualizaciones acumulativas ya aplicada. Elige la vía que use tu equipo.
- Windows Update. Se descarga e instala sola si tienes activadas las actualizaciones automáticas.
- Catálogo de Microsoft Update. Busca KB5126967 para obtener el paquete independiente.
- Centro de descarga de Microsoft. El archivo es SQLServer2025-KB5126967-x64.exe, y Microsoft publica un hash SHA256 para verificarlo.
- Linux. Configura el repositorio de actualizaciones acumulativas de SQL Server y actualiza los paquetes con el comando de tu plataforma.
Revisión rápida antes de instalar
Esto es lo que recomienda Microsoft para que la instalación sea tranquila.
- Aplica la actualización pronto. Corrige 22 CVE, incluidos los de ejecución remota de código.
- Habilita el cifrado con Extended Protection en SQL Server para Windows.
- Revisa el estado de tus réplicas y tus consultas de monitoreo, sobre todo si usas grupos de disponibilidad o consultas DMV durante restauraciones.
- Prueba tus servidores vinculados MSDASQL con cadena de proveedor, antes y después.
- Consulta el Security Update Guide de MSRC para ver la información de despliegue de cada CVE.
Agenda tu Health check sin costo
Descubre el estado real de tu instancia. Nuestros expertos analizan tu entorno de SQL Server y te entregan un diagnóstico profesional — sin compromiso y sin costo.