El Patch Tuesday de noviembre de Microsoft se ha convertido en la segunda actualización consecutiva cuyo volumen supera el millar de correcciones. La principal amenaza es la vulnerabilidad CVE-2026-124194 en Microsoft Outlook, que, según Microsoft, ya está siendo explotada por atacantes. Su explotación permite interceptar el hash de autenticación NTLMv2 de la víctima, lo que abre la puerta a la suplantación de identidad del usuario. CISA ha incluido la vulnerabilidad en el catálogo Known Exploited Vulnerabilities con fecha límite de mitigación el 24 de noviembre de 2026. Todas las organizaciones que utilicen Outlook deberían instalar el parche con carácter prioritario.
Alcance de la actualización: discrepancia en los recuentos
Según la página de publicación de Microsoft, la actualización abarca 1.259 vulnerabilidades. Sin embargo, según el recuento de Tenable, en el lanzamiento se abordan 1.093 CVE, de las cuales 63 han recibido un nivel de gravedad crítico, 1.029 importante y una moderado. La discrepancia probablemente se explica por la diferencia en la metodología de recuento: Microsoft incluye en el número total también identificadores CVE de terceros (en el material original se mencionan 165 de estos registros), mientras que Tenable puede estar contando solo las vulnerabilidades corregidas directamente por Microsoft. Estas cifras no deben considerarse intercambiables.
Ya analizamos el Patch Tuesday de octubre, que también superó la marca de las mil correcciones. La publicación de noviembre confirma que este volumen se está convirtiendo en la nueva norma para Microsoft.
CVE-2026-124194: vulnerabilidad de spoofing en Outlook
La vulnerabilidad central de la actualización es CVE-2026-124194, clasificada como spoofing en Microsoft Outlook. Según Microsoft y Tenable, ha recibido una puntuación CVSS 6.5 y un nivel de gravedad moderado.
El mecanismo de ataque es el siguiente: el atacante envía a la víctima un archivo de mensaje especialmente manipulado o un documento de Office. Si el usuario abre este archivo en una versión vulnerable de Outlook, el cliente inicia una conexión con un recurso de red controlado por el atacante sin mostrar la advertencia estándar sobre contenido externo. Como resultado, se produce una fuga de datos de autenticación —el hash NTLMv2— que puede utilizarse para suplantar la identidad del usuario en ataques posteriores.
Limitaciones importantes de la explotación, confirmadas por Microsoft:
- Se requiere conectividad de red de la víctima
- Se requiere interacción del usuario: abrir el archivo malicioso
- No se ha confirmado una explotación automática sin acciones del usuario
A pesar de la puntuación CVSS moderada, la vulnerabilidad merece una atención prioritaria. Es la única CVE de esta actualización incluida en el catálogo CISA KEV, lo que confirma el hecho de su explotación activa. Microsoft no ha revelado qué atacante o grupo concreto está utilizando la vulnerabilidad ni ha proporcionado detalles técnicos sobre la explotación. Tampoco se sabe si la explotación comenzó antes o después de que los investigadores descubrieran la vulnerabilidad.
Otras vulnerabilidades significativas
Además de Outlook, la actualización corrige una serie de vulnerabilidades críticas de ejecución remota de código:
- CVE-2026-116928: escritura fuera de los límites del búfer en el componente Windows Search, que permite ejecutar código a través de la red
- CVE-2026-119958: escritura fuera de los límites del búfer en Windows LDAP, también con posibilidad de ejecución remota de código a través de la red
- CVE-2026-119952: ejecución remota de código en Windows Schannel
- CVE-2026-95962: ejecución remota de código en Windows Virtual Filtering Platform
- CVE-2026-112967: desbordamiento de búfer en el montón en Windows Xbox Live Networking Service con posibilidad de ejecución remota de código a través de la red
- CVE-2026-119990: escalada de privilegios en Azure OpenAI
El material disponible no contiene información sobre las versiones afectadas por las CVE enumeradas, por lo que se recomienda consultar el portal MSRC para obtener los datos completos sobre las configuraciones.
Evaluación del impacto
CVE-2026-124194 representa el mayor riesgo práctico para las organizaciones donde Outlook es el cliente de correo estándar, es decir, la inmensa mayoría de los entornos corporativos. El hash NTLMv2 interceptado puede utilizarse para autenticarse en nombre de la víctima, acceder a sus datos y potencialmente desplazarse por la red interna. Sin embargo, el éxito de estos ataques posteriores depende de la configuración concreta del entorno y no está garantizado en todos los casos.
Las vulnerabilidades en LDAP y Windows Search son especialmente peligrosas para las infraestructuras de servidor, donde estos componentes procesan solicitudes de red. La vulnerabilidad en Azure OpenAI afecta a las organizaciones que utilizan los servicios de IA en la nube de Microsoft.
Recomendaciones
- Instalar de inmediato el parche para CVE-2026-124194, ya que es la única vulnerabilidad con explotación confirmada y fecha límite de CISA KEV hasta el 24 de noviembre de 2026
- Comprobar qué componentes de la lista (Windows Search, LDAP, Schannel, Xbox Live Networking Service, Azure OpenAI) se utilizan en su infraestructura y priorizar los parches correspondientes
- Considerar la restricción de conexiones SMB salientes y de autenticación NTLM hacia recursos externos como medida adicional de protección frente a la fuga de hashes
- Formar a los usuarios para que no abran adjuntos de fuentes no verificadas: la explotación de CVE-2026-124194 requiere que la víctima abra por sí misma el archivo malicioso
La prioridad de parcheo en esta actualización es inequívoca: CVE-2026-124194 en Outlook es la primera de la lista como única vulnerabilidad con explotación confirmada y fecha límite regulatoria. A continuación, las vulnerabilidades críticas de ejecución remota de código en componentes de red de Windows (LDAP, Search, Schannel), especialmente en servidores accesibles desde la red. La lista completa de versiones y configuraciones afectadas está disponible en el portal MSRC.
