Microsoft lanzó sus actualizaciones de seguridad de noviembre de 2026, que corrigen un total de 1.094 vulnerabilidades repartidas entre Windows, Office y otros productos de la compañía. Entre ellas hay un zero-day en Outlook, identificado como CVE-2026-124194, sobre el que Microsoft afirma tener conocimiento de explotación activa.
Qué es CVE-2026-124194 y cómo funciona
La vulnerabilidad en Outlook ha sido clasificada por Microsoft como un fallo de spoofing (suplantación). Según la propia compañía, el error se aprovecha cuando un atacante persuade a una víctima para que abra un archivo especialmente diseñado en una versión afectada de Microsoft Outlook. Al abrir el archivo, Outlook podría conectarse a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual sobre contenido externo, lo que podría exponer información de autenticación.
Microsoft especifica que el fallo no se puede activar desde el panel de vista previa (Preview Pane) y que, si se explota, podría revelar el hash NTLMv2 del usuario. Con ese hash, un atacante podría autenticar como el usuario afectado en ciertos escenarios. Para que el ataque tenga éxito, la víctima debe ser engañada a abrir el archivo —es decir, requirió interacción del usuario— y la compañía no ha facilitado detalles públicos sobre las campañas observadas.
Alcance de los parches y productos afectados
Microsoft indica que el zero-day afecta a varias ediciones de Office y Microsoft 365 Apps para empresa, incluidas las ediciones LTSC 2021 y 2024. Además del fallo en Outlook, la actualización de noviembre corrige cientos de vulnerabilidades en diferentes familias de producto: Windows concentra la mayoría, con 726 fallos, seguido por Office con 174, y correcciones en SQL Server, herramientas de desarrollo, SharePoint Server, Azure y Exchange Server, entre otros.
La compañía también republicó 165 CVE reportados por terceros y señaló que no incluye vulnerabilidades de Chrome en ese listado. Microsoft califica actualizaciones críticas para componentes como Windows 10, Windows 11 en distintas ediciones, Office, Exchange Server Subscription Edition y su motor de protección contra malware, además de resolver problemas en servicios de Azure y otros productos.
Impacto para administradores y propietarios de sitios
- Qué cambia: se corrigen más de mil vulnerabilidades, incluyendo un zero-day en Outlook cuya explotación podría permitir la divulgación de credenciales en escenarios concretos.
- A quién afecta: administradores de sistemas, responsables de seguridad y usuarios de Microsoft 365 Apps para empresa y de las versiones LTSC de Office, así como cualquier organización que use Windows y los otros productos listados.
- Qué deben hacer: aplicar cuanto antes las actualizaciones proporcionadas por Microsoft mediante los canales habituales (Windows Update, WSUS, sistemas de gestión de parches y catálogos corporativos). Dado que el exploit requiere interacción del usuario, reforzar las políticas de formación y las protecciones contra archivos adjuntos maliciosos (filtrado de correo, sandboxing de adjuntos, deshabilitar vistas automáticas de contenido externo) reduce el riesgo mientras se despliegan los parches.
Notas sobre la divulgación y créditos
Microsoft señala que la vulnerabilidad no fue divulgada públicamente antes de que se difundiera la corrección y atribuye el descubrimiento a un investigador identificado como “nono” y a Benoît Sevens; la nota de reconocimiento a Sevens menciona el uso del modelo de IA Claude de Anthropic en el proceso de investigación.
Esta ronda de parches es menor que la de octubre de 2026, cuando Microsoft corrigió un récord de 1.413 vulnerabilidades. Con las correcciones de noviembre, la empresa supera las 5.000 vulnerabilidades arregladas en el año, según su propio recuento.
Lee también:
- Wordfence 9.1.0 añade widget de noticias de seguridad, reglas más rápidas y alertas configurables
- Versiones maliciosas de bee-js y Swarm Desktop publicadas usando la automatización de Ethersphere roban claves de wallet
Fuente: SecurityWeek
