Microsoft publicó el martes 10 de noviembre su ronda mensual de parches de seguridad, y vuelve a ser enorme: 1.094 vulnerabilidades propias corregidas, según el recuento de SecurityWeek, que suben a 1.259 si se suman los 165 identificadores de terceros que la compañía incluye en su guía, como hace The Hacker News. Entre todas ellas hay una que ya se está usando en ataques reales: un fallo de Outlook que permite robar las credenciales del usuario con un simple archivo de correo.
Si usas Outlook en el trabajo o en casa con Microsoft 365 u Office 2021 o 2024, esta actualización no conviene dejarla para la semana que viene.
Un archivo de correo que filtra tu identidad
El fallo se identifica como CVE-2026-124194 y Microsoft lo describe como un problema de suplantación: la interfaz de Outlook no avisa al usuario antes de una acción peligrosa. En la práctica, un atacante sin necesidad de credenciales envía un archivo de mensaje manipulado y convence a la víctima de que lo abra. Al hacerlo, Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual sobre contenido externo.
En esa conexión se filtra el hash NTLMv2 del usuario, una especie de huella de su contraseña de Windows que, según explica la propia Microsoft, el atacante puede usar para autenticarse haciéndose pasar por él. Hay un matiz tranquilizador: el panel de vista previa no sirve para lanzar el ataque, así que hace falta abrir el archivo.
Gravedad «moderada», pero con ataques en marcha
Microsoft le asigna una puntuación CVSS de 6,5 y lo clasifica como de importancia moderada, pero confirma que se ha explotado. La agencia estadounidense de ciberseguridad, CISA, lo añadió el mismo día a su catálogo de vulnerabilidades explotadas y ha dado a las agencias federales de su país hasta el 24 de noviembre para corregirlo.
Jack Bicer, director de investigación de vulnerabilidades en Action1, resumía el riesgo en declaraciones recogidas por The Hacker News: a su juicio, la etiqueta de «moderado» se queda corta, porque los atacantes ya lo están aprovechando, basta un clic en un archivo de correo y afecta a un programa que usa casi cualquier organización. Microsoft, por su parte, no ha dicho quién está detrás de los ataques ni ha dado detalles técnicos de cómo se están produciendo.
Curiosamente, entre los descubridores figuran un investigador que firma como «nono» y Benoît Sevens, de Anthropic, cuyo reconocimiento menciona expresamente el uso del modelo Claude.
Qué versiones hay que actualizar
Los productos afectados son Microsoft 365 Apps para empresas, Office LTSC 2021 y Office LTSC 2024. Según los datos del registro de la vulnerabilidad, las compilaciones corregidas son la 16.0.14334.21048 en Office LTSC 2021 y la 16.0.17932.21140 en Office LTSC 2024; en Microsoft 365 Apps conviene comprobar que el canal de actualizaciones ya ha recibido el parche de noviembre.
Mientras tanto, la recomendación de los analistas es no abrir archivos de mensaje inesperados y, en empresas, valorar bloquear el tráfico SMB y NTLM saliente hacia internet, que es justo la vía por la que se escapan las credenciales.
Otros fallos críticos: Windows Search y Excel
El paquete incluye muchas más correcciones importantes. Heise destaca una vulnerabilidad crítica en el componente de búsqueda de Windows (CVE-2026-116928) que puede aprovecharse sin autenticación usando Exchange Server como puerta de entrada: basta con enviar un correo con un adjunto manipulado, que el indexador procesa automáticamente aunque nadie lo abra, para ejecutar código con los permisos de ese servicio. También hay varios fallos de Excel que permiten ejecutar código malicioso.
The Hacker News añade otros errores de ejecución remota de código en LDAP, Schannel, la Plataforma de Filtrado Virtual de Windows y el servicio de red de Xbox Live, además de una escalada de privilegios en Azure OpenAI.
Un año récord de parches
Por productos, Windows acumula 726 fallos corregidos este mes y Office, 174, seguidos de SQL Server (59), SharePoint Server (27), Azure (20) y Exchange Server (9). Aun así, es una ronda más pequeña que la de octubre, cuando Microsoft parcheó la cifra récord de 1.413 vulnerabilidades. En lo que va de año supera ya las 5.000, y Satnam Narang, de Tenable, las sitúa por encima de 5.100.
Hay una última nota para empresas y centros educativos: esta es la última actualización para las ediciones Enterprise y Education de Windows 11 23H2, que a partir de ahora dejan de recibir parches mensuales de seguridad. Quien siga en esa versión debería planificar ya el salto a una más reciente.
Fuentes
- Microsoft Security Response Center: CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability
- SecurityWeek: Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft
- The Hacker News: Microsoft Patches 1,259 Flaws, Including Exploited Outlook Bug That May Expose NTLMv2 Hashes
- heise online: Microsoft-Patchday: Attacken auf Outlook beobachtet
- SecurityOnline: Outlook Zero-Day CVE-2026-124194 Exploited in the Wild
