Microsoft publicó el 10/11/2026 sus actualizaciones de seguridad mensuales, que corrigen más de 1.000 vulnerabilidades, y entre ellas una ya explotada: CVE-2026-124194, un fallo de suplantación en Outlook para Windows que puede filtrar el hash NTLMv2 del usuario. INCIBE-CERT ha publicado su aviso sobre el boletín con importancia crítica, destaca 24 CVE y recomienda parchear Outlook en primer lugar.
Las claves del boletín de Microsoft de noviembre en 30 segundos
- Microsoft corrige unos 1.094 CVE según sus notas de versión, 63 de ellos críticos.
- CVE-2026-124194, en Outlook, ya se explota y puede filtrar el hash NTLMv2 del usuario.
- La CISA lo añadió a su catálogo de fallos explotados y da de plazo hasta el 24/11 a las agencias federales.
- INCIBE-CERT destaca además fallos críticos en LDAP, Kerberos, DNS y DHCP de Windows, SQL Server y SharePoint.
La cifra total varía según quién cuente. Las notas de versión de la guía de actualizaciones de Microsoft suman 1.094 CVE, Tenable habla de 1.093 (63 críticos, 1.029 importantes y uno moderado) y The Hacker News eleva el total a 1.259 porque incluye identificadores asignados por terceros, como los de Microsoft Edge. El aviso de INCIBE-CERT recoge solo 24 de ellos, los que considera más relevantes: 23 críticos y el de Outlook, de gravedad media.
CVE-2026-124194: el fallo de Outlook que ya se explota
Microsoft lo clasifica como un fallo de suplantación (spoofing) de gravedad moderada, con una puntuación CVSS de 6,5, pero confirma que se está explotando. El problema es que Outlook no avisa al usuario antes de una acción potencialmente peligrosa: al abrir un archivo de mensaje manipulado, el cliente puede conectarse al servidor del atacante sin la advertencia habitual de contenido externo y entregarle el hash NTLMv2 del usuario, que el atacante puede usar para autenticarse en su nombre. Según Microsoft, no se puede activar desde el panel de vista previa.
Afecta a Outlook para Windows incluido en Microsoft 365 Apps para empresas, Office LTSC 2021 y Office LTSC 2024, en 32 y 64 bits. INCIBE-CERT indica estas compilaciones corregidas:
- Office LTSC 2021: 16.0.14334.21048 o posterior.
- Office LTSC 2024: 16.0.17932.21140 o posterior.
- Microsoft 365 Apps para empresas: la compilación corregida de cada canal de actualización, según las notas de seguridad de Office.
Además de parchear, conviene revisar la exposición a fugas de NTLM: bloquear el tráfico SMB saliente (puerto TCP 445) hacia Internet desde los puestos de trabajo y, donde sea viable, limitar o auditar el uso de NTLM en el dominio reduce el valor de un hash robado.
Los fallos críticos que conviene no dejar para después
Ninguno de los demás fallos del aviso de INCIBE-CERT consta como explotado, pero varios afectan a servicios de infraestructura expuestos en muchas redes corporativas:
- Windows LDAP (CVE-2026-119958): escritura fuera de límites que permite ejecutar código sin autenticación con los permisos del servicio. Es prioritario en controladores de dominio.
- Windows Kerberos (CVE-2026-85844): ruta de autenticación alternativa que permite escalar privilegios.
- Windows DNS (CVE-2026-88218), DHCP Server (CVE-2026-88243) e iSCSI (CVE-2026-88234): ejecución remota de código.
- SQL Server (CVE-2026-116945): desbordamiento de búfer con ejecución remota de código.
- SharePoint Server: escalada de privilegios (CVE-2026-120002) y dos fallos de cross-site scripting (CVE-2026-109454 y CVE-2026-80095).
- Azure DevOps Server (CVE-2026-109467): ejecución no autorizada de pipelines y de código en los agentes.
- Windows Search (CVE-2026-116928), Media Foundation, DirectMusic, Color Management, Virtual Filtering Platform y Xbox Live Networking Service: ejecución de código.
En herramientas de desarrollo destacan CVE-2026-120779 en Visual Studio Code, que permite a un servidor MCP malicioso ejecutar código y se corrige en la versión 1.145.3, y CVE-2026-118740 en Aspire Dashboard, corregido en 13.6.5. También hay fallos de autorización en ASP.NET Core y en Microsoft Graph para Azure Privileged Identity Management. El de Azure OpenAI (CVE-2026-119990) ya lo ha corregido Microsoft en el servicio y no requiere acción del cliente.
Las clasificaciones no siempre coinciden: INCIBE-CERT marca como crítico el fallo de SharePoint CVE-2026-120002, que Tenable recoge como importante. Para los sistemas Windows y los productos de servidor, la referencia es el paquete KB correspondiente en la guía de actualizaciones de seguridad de Microsoft (MSRC). Microsoft corrige también un fallo crítico en Schannel (CVE-2026-119952) que no figura en el aviso de INCIBE-CERT.
Preguntas frecuentes
¿Qué vulnerabilidad de noviembre se está explotando?
CVE-2026-124194, un fallo de suplantación en Outlook para Windows que puede filtrar el hash NTLMv2 del usuario al abrir un archivo de mensaje manipulado.
¿Cuántas vulnerabilidades corrige Microsoft este mes?
Unas 1.094 según las notas de versión de Microsoft, 63 de ellas críticas. Algunas fuentes dan cifras mayores porque incluyen identificadores de terceros como los de Edge.
¿Qué debo parchear primero?
Outlook para Windows, según INCIBE-CERT. Después, los servicios de infraestructura con fallos críticos como LDAP, Kerberos, DNS y DHCP de Windows, SQL Server y SharePoint.
¿Afecta el fallo de Outlook a la vista previa?
No. Microsoft indica que no se puede activar desde el panel de vista previa; hace falta abrir el archivo manipulado.
Fuentes:
