Microsoft publicó el 10 de noviembre su actualización de seguridad mensual: 1.093 nuevas vulnerabilidades corregidas según Tenable, un total acorde con los datos de Microsoft, de las cuales solo una ya estaba siendo explotada por atacantes, CVE-2026-124194, en Outlook. El volumen sigue siendo vertiginoso, aunque retrocede respecto al récord de octubre. Para los equipos informáticos de las pymes, lo importante es clasificar: algunos parches afectan a servicios expuestos a la red y merecen instalarse sin esperar.
El fallo de Outlook: un archivo abierto, una contraseña expuesta
CVE-2026-124194 está clasificada como una suplantación de identidad, con una puntuación CVSS de 6,5 y una gravedad solo «moderada». Esta clasificación modesta no debe tranquilizar: el aviso de Microsoft confirma que fue explotada antes de la publicación del parche. Según Security Affairs, el atacante envía un archivo de mensaje con trampa y debe convencer a su objetivo de que lo abra. Outlook contacta entonces con un servidor controlado por el pirata, sin mostrar la advertencia habitual sobre el contenido externo.
Esta conexión puede entregar el hash NTLMv2 del usuario, una forma derivada de su contraseña que el atacante puede reutilizar para hacerse pasar por él, precisa Tenable. La simple visualización en el panel de vista previa no basta para desencadenar el ataque. Según CyberScoop, la agencia estadounidense CISA la añadió rápidamente a su catálogo de fallos explotados activamente, ya el 10 de noviembre. Tenable destaca un detalle revelador de la época: el boletín atribuye el descubrimiento a un investigador que se sirvió de Claude, el modelo de IA de Anthropic.
Los fallos críticos que hay que tratar con prioridad
Tenable cuenta 63 vulnerabilidades críticas. Casi la mitad de los fallos del mes corresponden a elevación de privilegios, y algo más de una cuarta parte a ejecución remota de código. Varios merecen una atención inmediata:
- CVE-2026-116928, en Windows Search accesible a través de Exchange Server: una ejecución de código sin ningún clic, con una puntuación de 9,8. Según Security Affairs, basta con que el servidor indexe automáticamente un archivo adjunto malicioso. Dustin Childs, de la Zero Day Initiative, lo considera más grave que los nueve parches de Exchange del mes, informa CyberScoop.
- CVE-2026-119958, en el servicio LDAP de Windows, también con 9,8: explotable sin autenticación, podría causar daños considerables en los controladores de dominio.
- CVE-2026-118146 (Active Directory Domain Services) y CVE-2026-118207 (Exchange Server), dos ejecuciones de código con 8,8 que Microsoft considera más susceptibles de ser explotadas, según Tenable.
- CVE-2026-119952, en Schannel, el componente de cifrado de las conexiones de Windows, explotable sin autenticación pese a una complejidad de ataque elevada.
La Zero Day Initiative contabiliza además 30 fallos que considera capaces de propagarse de una máquina a otra sin intervención humana, frente a 59 el mes anterior, indica Security Affairs. Afectan en particular a Message Queuing, al DNS y al servidor DHCP de Windows.
Menos fallos explotados, pero no menos ataques
Octubre ostenta el récord, con 1.413 fallos corregidos, señala CyberScoop; noviembre llega justo detrás. Los recuentos, por otra parte, varían de una fuente a otra. El número de fallos explotados antes del parche, en cambio, retrocede. Dustin Childs se niega a ver en ello una tregua: según él, eso no significa que la explotación disminuya sobre el terreno. Propone una explicación: la IA sería actualmente más eficaz para desmenuzar un parche publicado que para descubrir y explotar por sí sola un fallo en un software de código cerrado. Dicho de otro modo, el plazo entre la publicación de un parche y su explotación podría acortarse.
Qué hacer en la práctica
Para una estructura pequeña, la prioridad son los servidores expuestos: Exchange, controladores de dominio, servidores DNS y DHCP. En los puestos de trabajo, la actualización de Office y de Outlook elimina el fallo ya explotado. También es útil recordar a los empleados que desconfíen de los archivos de mensaje recibidos sin contexto, incluso de un remitente conocido. Por último, un inventario de las máquinas no actualizadas, puesto al día cada mes, sigue siendo la mejor protección frente a un volumen de parches que se ha vuelto imposible de seguir línea por línea.
Preguntas frecuentes
¿Cuántos fallos corrige el Patch Tuesday de noviembre de 2026?
Tenable cuenta 1.093, CyberScoop 1.094; los totales varían según los métodos de recuento. Un solo fallo, CVE-2026-124194 en Outlook, estaba siendo explotado antes de su corrección.
¿Se activa el fallo de Outlook con la simple recepción de un correo electrónico?
No. El usuario debe abrir el archivo con trampa. El panel de vista previa no es un vector de ataque, según el aviso de Microsoft citado por Security Affairs.
¿Qué parches hay que instalar primero?
Los de Outlook y Office para el fallo explotado, y después los de los servicios de red: Exchange, LDAP y Active Directory, DNS, DHCP y Schannel, que concentran los fallos críticos explotables a distancia.
Fuentes
- Microsoft's November 2026 Patch Tuesday Addresses 1,093 CVEs (CVE-2026-124194) — Tenable, 2026-11-10
- Microsoft fixes over 1,000 vulnerabilities in November Patch Tuesday — CyberScoop, 2026-11-10
- Microsoft November Patch Tuesday: one exploited Outlook bug and 30 wormable flaws — Security Affairs, 2026-11-11
- CVE-2026-124194 — Microsoft Outlook Spoofing Vulnerability — Microsoft Security Response Center, 2026-11-10
- Known Exploited Vulnerabilities Catalog — CISA, 2026-11-10