Microsoft publicó el 10 de noviembre de 2026 su Patch Tuesday de noviembre, una de las mayores actualizaciones mensuales de su historia: 1.093 vulnerabilidades asignadas por Microsoft, de las que 63 son críticas, 1.029 importantes y una moderada. Contando también los componentes Chromium y de código abierto, el total asciende a 1.342 CVE. Entre todo ese volumen hay un dato que manda sobre el resto: un zero-day de Outlook que ya está siendo explotado y que permite robar el hash NTLMv2 de un usuario con solo abrir un archivo.
El zero-day: CVE-2026-124194
La vulnerabilidad es un fallo de suplantación (spoofing) en Outlook, con CVSS 6,5 y severidad oficial «moderada». Esa etiqueta es engañosa: es la única vulnerabilidad de la entrega marcada como explotada en el mundo real, y CISA la añadió el mismo 10 de noviembre a su catálogo KEV, con fecha límite de parcheo para las agencias federales el 24 de noviembre de 2026.
El ataque es sencillo: el atacante envía un archivo de Office manipulado y convence a la víctima de abrirlo. En ese momento, Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo, y en esa conexión se filtra el hash NTLMv2 del usuario. Con ese hash, el atacante puede suplantar la identidad del usuario, ya sea reenviándolo (relay) contra otros sistemas o descifrándolo para recuperar la contraseña.
El panel de vista previa no es un vector de ataque — hace falta abrir el archivo — y el fallo afecta a Microsoft 365 Apps for Enterprise y a Office LTSC 2021 y 2024. Microsoft atribuye el descubrimiento a un investigador que utilizó Claude, el modelo de Anthropic.
El resto de la avalancha: 63 fallos críticos
De los 63 fallos críticos, 48 permiten ejecución remota de código y 15 son de elevación de privilegios. Los parches cubren 287 productos y componentes, con Word (65 CVE), Excel (64) y SQL Server (53) a la cabeza. Los más preocupantes:
- CVE-2026-120002 — Elevación de privilegios en SharePoint Server, CVSS 9,9: escalada de privilegios por la red para un atacante autenticado.
- CVE-2026-116928 — Ejecución remota de código en Windows Search, CVSS 9,8, alcanzable a través de Exchange Server.
- CVE-2026-119958 — Ejecución remota de código en Windows LDAP, CVSS 9,8: el protocolo con el que los controladores de dominio gestionan cuentas y autenticación.
- CVE-2026-118207 — Ejecución remota de código en Exchange Server, CVSS 8,8, «explotación más probable» según Microsoft.
- CVE-2026-118146 — Ejecución remota de código en Active Directory Domain Services, CVSS 8,8, también con «explotación más probable».
CISA añadió además seis vulnerabilidades explotadas a su catálogo KEV el mismo día, entre ellas la de Outlook y un zero-day de Chrome parcheado el día anterior.
A quién afecta
Prácticamente a todo el mundo: el fallo de Outlook afecta a cualquier organización con Microsoft 365 Apps u Office LTSC, y los críticos de Exchange, SharePoint, LDAP y Active Directory golpean la infraestructura de correo, colaboración y autenticación. Ninguno de los críticos, salvo el de Outlook, está marcado como explotado por el momento, pero los fallos de Exchange, SharePoint y LDAP no tardan en tener exploit público.
Qué hacer
El orden de parcheo recomendado:
- Outlook primero. Instala las actualizaciones de Microsoft 365 Apps y de Office LTSC 2021 y 2024: es el único fallo con explotación activa. En Windows 11, las acumuladas son KB5132061 (24H2, 25H2 y 26H2) y KB5131087 (23H2).
- Controladores de dominio. Los fallos de LDAP, Active Directory, Kerberos, DNS y DHCP son de CVSS 9,8 y muchos no necesitan autenticación.
- Exchange y SharePoint expuestos a internet, los servicios que los atacantes escanean primero, y este mes traen RCE con explotación probable.
- SQL Server y el resto de servidores, y después los puestos de trabajo con la actualización acumulada de Windows.
- Filtrado de correo mientras tanto. Un gateway que bloquee archivos de Office sospechosos compra tiempo hasta instalar el parche.
Mirada Blue Team: qué vigilaría un SOC
La severidad CVSS no debe ordenar el trabajo: el fallo explotado es «moderado» y los críticos de 9,8 aún no se explotan. El estado de explotación manda.
Para el zero-day de Outlook, lo prioritario:
- Conexiones SMB salientes desde los equipos de usuario. Outlook no tiene por qué iniciar conexiones SMB (puerto 445) hacia direcciones externas: una conexión así desde un proceso de Outlook es una señal de alarma inmediata.
- Autenticación NTLM anómala. Buscar autenticaciones NTLM contra hosts ajenos a la organización o patrones de relay hacia Exchange o los controladores de dominio.
- Forzar SMB Signing y, donde sea posible, desactivar NTLM. El hash robado solo sirve si el atacante puede reenviarlo o descifrarlo; el signing y Kerberos cortan el relay de raíz.
- Rotación de credenciales y movimiento lateral. Si un usuario abrió un archivo sospechoso, asumir el hash comprometido: forzar el cambio de contraseña y buscar inicios de sesión inusuales desde su equipo.
En los servidores, lo de siempre con más urgencia: exposición de Exchange y SharePoint a internet, alertas del EDR y escaladas de privilegios en los controladores de dominio.
Conclusión
Noviembre de 2026 deja una lección en una sola frase: un CVSS de 6,5 puede ser más urgente que un 9,8. El zero-day de Outlook ya está en manos de atacantes, se distribuye por correo y roba credenciales con un solo clic. Parchar Outlook hoy, los controladores de dominio mañana y Exchange y SharePoint esta misma semana es el orden sensato.
Fuentes
- Tenable — «Microsoft’s November 2026 Patch Tuesday addresses 1093 CVEs (CVE-2026-124194)»: https://www.tenable.com/blog/microsoft-november-2026-patch-tuesday-addresses-1093-cves-cve-2026-124194
- CSO Online — «November 2026 Patch Tuesday: 63 Critical Microsoft fixes, plus an Outlook zero day that allows theft of hashed credentials»: https://www.csoonline.com/article/4247015/november-2026-patch-tuesday-63-critical-microsoft-fixes-plus-an-outlook-zero-day-that-allows-theft-of-hashed-credentials.html
- Cyber Security News — «Microsoft November 2026 Patch Tuesday Fixes 1,093 Vulnerabilities, Including Outlook Zero-Day»: https://cybersecuritynews.com/microsoft-november-2026-patch-tuesday/
- iFynx — «Outlook Zero-Day CVE-2026-124194: November Patch Tuesday»: https://ifynx.com/blog/outlook-zero-day-cve-2026-124194-november-2026-patch-tuesday-gulf-egypt/
- Windows Forum — «CISA Flags Six Exploited Flaws: Patch Outlook, Chrome and Barracuda Appliances»: https://windowsforum.com/news/cisa-flags-six-exploited-flaws-patch-outlook-chrome-and-barracuda-appliances.451723/
- Senserva — «Microsoft Patch Tuesday November 2026: 1,342 CVEs Ranked by Risk»: https://senserva.com/patch-tuesday.html