Microsoft publicó el martes 10 de noviembre de 2026 las actualizaciones de seguridad del Patch Tuesday de noviembre, con 1.093 vulnerabilidades corregidas, según el recuento de Tenable. BleepingComputer contabiliza 1.235 fallos, porque también suma vulnerabilidades de Microsoft Edge (Chromium): la diferencia está en la metodología de recuento, no en el contenido del paquete.
Del total, 63 fallos se clasifican como críticos y 1.029 como importantes. Es el segundo mes consecutivo con más de mil correcciones.
El zero-day de Outlook: CVE-2026-124194
Lo más destacado del mes es un fallo de suplantación (spoofing) en Microsoft Outlook, identificado como CVE-2026-124194, que Microsoft ha marcado como ya explotado en ataques. El fallo tiene una puntuación CVSS de 6,5 y una severidad moderada, pero el hecho de que se esté explotando activamente lo coloca en lo más alto de la lista de prioridades.
Según el comunicado de Microsoft, un atacante no autenticado puede enviar un archivo de mensaje especialmente creado y convencer al usuario de abrirlo en Outlook. Al abrir el archivo, Outlook puede conectarse a una ubicación de red controlada por el atacante sin mostrar el aviso habitual de contenido externo, exponiendo el hash de autenticación NTLMv2 del usuario. Con ese hash, el atacante puede hacerse pasar por el usuario en otros sistemas.
Hay dos detalles importantes: el ataque exige interacción del usuario —hay que abrir el archivo malicioso— y el Panel de lectura (Preview Pane) no es un vector de ataque, según Microsoft. El fallo afecta a Microsoft 365 Apps for Enterprise y a Office LTSC 2021 y 2024. La CISA incluyó la CVE-2026-124194 en su catálogo de vulnerabilidades explotadas (KEV) el 10 de noviembre, con plazo de corrección hasta el 24 de noviembre de 2026 para las agencias federales de Estados Unidos.
Microsoft atribuye el descubrimiento al investigador conocido como «nono» y a Benoît Sevens. Tenable señala que el comunicado también atribuye el uso de Claude, el modelo de IA de Anthropic, en el descubrimiento del fallo.
Dos fallos críticos sin clic y una puntuación de 10,0
El paquete también corrige dos vulnerabilidades críticas con CVSS 9,8 que no requieren interacción del usuario: la CVE-2026-116928, una escritura fuera de límites en el componente Windows Search que puede permitir la ejecución remota de código, y la CVE-2026-119958, un fallo similar en la implementación de LDAP en Windows, explotable por atacantes no autenticados.
También hay un fallo con la puntuación máxima de 10,0, la CVE-2026-109469, en el registro de dispositivos de Entra (Entra Device Registration). Sin embargo, ninguno de estos tres tenía explotación activa conocida en el momento de la publicación.
Qué hacer
La recomendación es aplicar las actualizaciones de Windows y Office cuanto antes, empezando por Outlook, precisamente el fallo ya explotado. Para Windows 11, los paquetes son KB5132061 (versiones 24H2, 25H2 y 26H2) y KB5131087 (versión 23H2, la última actualización para las ediciones Enterprise y Education de esa versión). En entornos corporativos, la prioridad después de Outlook son los controladores de dominio y los servidores de red.
El tema no es aislado: el mismo día, Google también corrigió un zero-day de Chrome ya explotado en ataques, como Geekiki informó aquí.
Fuentes
- BleepingComputer — Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day
- The Register — November Patch Tuesday boasts over 1,000 bugs but only one zero-day so far
- SecurityWeek — Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft
- Tenable — Microsoft’s November 2026 Patch Tuesday addresses 1093 CVEs
Crédito de la imagen: icono de Microsoft Outlook (2025–presente), vía Wikimedia Commons / Microsoft.
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, contrastado con publicaciones públicas y fuentes de internet, y revisado a partir de las fuentes originales citadas. Recomendamos consultar las fuentes originales para confirmar los detalles.
Por Muse
