Microsoft publicó el martes 10 de noviembre su paquete mensual de seguridad, el Patch Tuesday, con 1,093 fallas corregidas en Windows, Office, SQL Server, Exchange, Azure y el resto de sus productos; 63 son críticas. Una de ellas ya se usaba en ataques antes del parche: la CVE-2026-124194, en Outlook: basta con que la víctima abra un archivo de mensaje preparado para que su equipo le entregue al atacante el hash NTLMv2 de su cuenta, una prueba de su contraseña con la que se puede hacer pasar por ella.
El parche de octubre había batido el récord con más de 1,400 fallas, como contamos en el resumen de ese mes, y noviembre sigue en la misma escala. Como entonces, cada medio da un total distinto. Contando en el boletín oficial de Microsoft las fallas que la propia empresa publicó el día 10, salen 1,093, la misma cifra que da Cybersecuritynews. BleepingComputer habla de un récord de 1,235 porque suma 142 fallas de Chromium, el motor que Microsoft usa en Edge y que corrige Google.
Por tipo, casi la mitad son elevaciones de privilegios (535) y 296 permiten ejecutar código a distancia. De las 63 críticas, 48 son de ejecución remota y 15 de elevación de privilegios. Excel acumula 12 de ellas y Hyper-V, el sistema de máquinas virtuales de Windows, 8.
Claves del parche de noviembre
- El zero-day de Outlook. La CVE-2026-124194 está clasificada como suplantación, de gravedad moderada y con un 6.5 en la escala CVSS, pero ya se aprovechaba en ataques. Según Microsoft, un atacante sin cuenta envía un archivo de mensaje preparado y convence al usuario de abrirlo; al hacerlo, Outlook se conecta a una ubicación de red del atacante sin mostrar el aviso habitual de contenido externo, y Windows intenta autenticarse solo, con lo que entrega el hash NTLMv2 del usuario. La vista previa no basta: hay que abrir el archivo.
- Qué versiones afecta. Microsoft 365 Apps for Enterprise y Office LTSC 2021 y 2024, en 32 y 64 bits. Se corrige con la actualización de Office de este mes, no con la de Windows.
- Quién lo encontró. Microsoft reconoce a Benoît Sevens, que según el boletín lo encontró «usando Claude con Anthropic», igual que el zero-day de octubre, y a un investigador que firma como nono. Microsoft no dice quién estaba detrás de los ataques ni a cuántas personas afectó.
- La CISA pone plazo. La agencia de ciberseguridad de Estados Unidos agregó la falla a su catálogo de vulnerabilidades explotadas el mismo día 10 y les da a las agencias federales hasta el 24 de noviembre para corregirla.
- Un correo que no hace falta abrir. Entre las críticas destaca la CVE-2026-116928, en el componente de búsqueda de Windows, con un 9.8: un atacante sin cuenta manda un correo con un adjunto preparado y Exchange lo procesa solo para indexarlo, así que el destinatario no tiene que abrir nada. Hay otro 9.8 sin autenticación en LDAP, el directorio de las redes con Windows, y uno en el servicio de red de Xbox Live, que se puede atacar desde la misma red.
- Outlook, otra vez. Tres fallas críticas más de Outlook permiten ejecutar código, y en las tres la vista previa sí es una vía de ataque: basta con seleccionar el correo. Una de ellas es un use-after-free, el error de usar memoria ya liberada. Ninguna se ha visto en ataques.
- Fin de soporte. Es el último parche para Windows 11 23H2 en sus ediciones Enterprise y Education, cuyo soporte terminó con este parche; los equipos que sigan ahí tienen que pasar a una versión más nueva.
Por qué una fuga de NTLM sigue funcionando
NTLM es un sistema de autenticación de Windows de los años noventa que sigue activo por compatibilidad. Cuando Windows abre una carpeta compartida en otra máquina, puede presentar las credenciales del usuario de forma automática, y si esa máquina es del atacante, se queda con el hash. Con él puede intentar descifrar la contraseña sin conexión o reenviarlo para entrar a otros servicios de la empresa como si fuera la víctima. No es un truco nuevo: en 2023 la CVE-2023-23397 de Outlook se usó en ataques de la misma manera, y Microsoft lleva tiempo anunciando que retirará NTLM de Windows.
Por eso, además de actualizar, Microsoft recomendó entonces dos medidas que siguen sirviendo para este tipo de fuga: bloquear el puerto 445 (SMB) de salida en el firewall de la red, en el de cada equipo y en la VPN, para que las credenciales no viajen a carpetas compartidas de internet, y meter las cuentas más valiosas, como las de administradores del dominio, en el grupo Protected Users, que no permite usar NTLM. Microsoft advierte que esto último puede romper aplicaciones que dependan de NTLM. Y como siempre con un archivo que llega por correo, desconfiar de los adjuntos que no esperabas.
El parche de noviembre confirma que los récords de octubre no fueron una excepción: Microsoft corrige ahora más de mil fallas al mes y, según BleepingComputer, usa cada vez más la IA para encontrarlas. Para quien administra equipos, la prioridad de esta vez es clara: Office por el zero-day de Outlook y las fallas de vista previa, y los servidores Exchange por el fallo de búsqueda que se activa sin que nadie abra el correo.
Fuente: Microsoft Security Response Center, CVE-2026-124194; notas de las actualizaciones de noviembre de 2026; catálogo KEV de CISA; BleepingComputer; Cybersecuritynews. Foto de portada: Wikimedia Commons, dominio público.