Patch Tuesday de noviembre de 2026: 1.094 fallos de Microsoft y un zero-day en Outlook

Microsoft ha cerrado el Patch Tuesday de noviembre de 2026 con 1.094 vulnerabilidades propias corregidas, a las que se suman 165 avisos de terceros republicados en su guía de actualizaciones. Es la segunda cifra más alta del año y confirma una tendencia incómoda: el volumen de parches crece más rápido que la capacidad de muchos equipos para probarlos. La buena noticia es que solo uno de esos fallos está siendo explotado y ninguno se conocía públicamente antes de la publicación.

El dato oficial procede de la nota de versión de Microsoft Security Response Center (MSRC) para noviembre. Zero Day Initiative (ZDI) calcula «alrededor de 1.090» CVE nuevos y sitúa el total por debajo de los aproximadamente 1.400 de octubre, aunque por encima de cualquier mes anterior a 2026. Para un administrador, la diferencia entre 1.090 y 1.094 no cambia la tarea: hay que priorizar.

El único zero-day explotado: Outlook

La vulnerabilidad que Microsoft marca como explotada es CVE-2026-124194, una suplantación en Outlook. El nombre queda corto. Según el aviso, un archivo de mensaje manipulado hace que Outlook se conecte a una ubicación controlada por el atacante sin mostrar el aviso habitual de contenido externo. Esa conexión entrega el hash NTLMv2 del usuario, que el atacante puede usar para autenticarse como él en otros sistemas. La ventana de vista previa no es un vector; hace falta abrir el archivo.

Microsoft la clasifica como moderada, con 6,5 sobre 10, y no consta que se conociera públicamente antes del parche. La puntuación mide la gravedad técnica del fallo, no el daño que puede causar en una organización con NTLM todavía habilitado. Dustin Childs, de ZDI, advierte en su revisión mensual de que no hay que dejar que esa nota dé una falsa tranquilidad: el fallo está marcado como explotado y merece la primera posición de la lista.

La respuesta práctica tiene dos partes. La primera es instalar la actualización de Outlook en todos los puestos, no solo en los servidores. La segunda es reducir la exposición del protocolo: bloquear SMB saliente cuando no sea necesario, limitar NTLM a los sistemas que lo requieran y revisar autenticaciones NTLM anómalas. Un hash robado no se «parchea»; se invalida cambiando credenciales y cerrando los caminos que permiten usarlo.

Tres críticos de 9,8 que aún no se explotan

El resto de la lista no tiene evidencia de explotación, pero incluye fallos que conviene tratar casi como si la tuvieran. El más llamativo es CVE-2026-116928, una ejecución remota de código en Windows Search alcanzable a través de Exchange Server. Un atacante no autenticado puede enviar un correo con un adjunto manipulado y provocar la ejecución cuando el servidor lo indexa automáticamente. El destinatario no abre nada: es un fallo de cero clics sobre un objetivo de alto valor. Exchange recibe nueve parches este mes; este es el más grave con diferencia.

Le sigue CVE-2026-119958, una ejecución remota de código en LDAP provocada por una escritura fuera de límites (CWE-787). Un atacante sin autenticación puede enviar llamadas LDAP manipuladas por la red, sin interacción del usuario, y ejecutar código en el contexto del servicio LDAP. En un controlador de dominio, el impacto potencial es enorme. ZDI recomienda probarlo y desplegarlo con rapidez.

El tercero es CVE-2026-112967, un desbordamiento de heap en Windows Xbox Live Networking Service. Microsoft lo puntúa con 9,8 y describe un atacante dentro de la red que llama a endpoints arbitrarios para obtener ejecución remota. Es menos probable en la práctica que los dos anteriores, pero sigue siendo un 9,8 sin autenticación ni interacción. En la misma revisión aparecen CVE-2026-119952, una ejecución remota en Schannel que Microsoft marca como «explotación más probable», y CVE-2026-119990, una elevación de privilegios en Azure OpenAI cuya guía resultó confusa sobre la acción requerida.

30 fallos «wormable» y un orden de prioridades

ZDI contabiliza 30 vulnerabilidades de noviembre que cumplen su definición de «wormable»: 17 usan el lenguaje explícito de un atacante no autenticado que ejecuta código por la red sin interacción y las otras 13 comparten el mismo vector CVSS (AV:N/PR:N/UI:N) aunque el texto sea menos claro. «Wormable» describe la capacidad potencial de propagarse solo, no la existencia de un gusano en circulación. La distinción importa para no caer en el alarmismo, pero no para decidir qué parchear primero.

Por familias, hay cinco fallos en Message Queuing, cuatro en DNS, dos en DHCP, dos en Xbox, dos en Color Management, dos en DirectMusic y una docena más repartida entre Exchange, LDAP, Schannel, CredSSP, IIS, NAT, RPC, Media Foundation, iSCSI y otros servicios. La recomendación de ZDI es priorizar Exchange, LDAP y Kerberos, y después DNS y DHCP, porque son servicios de red que suelen estar expuestos y cuyo compromiso afecta a muchos equipos a la vez.

Qué hacer esta semana

El orden razonable es: Outlook en los puestos, Exchange, LDAP y controladores de dominio, DNS y DHCP, y después el resto. Antes de desplegar conviene comprobar las notas de cada actualización por si hay problemas conocidos con controladores o software de terceros, y usar los anillos de validación habituales. Un parche de 9,8 que rompe una aplicación crítica se convierte en un incidente distinto, así que la prisa no exime de probar.

También merece la pena inventariar qué servicios están realmente expuestos. Muchos de los fallos «wormable» solo son alcanzables desde redes concretas; otros, como el de Outlook, llegan por correo y no entienden de perímetros. La lista de 165 avisos de terceros completa el trabajo: Microsoft republica vulnerabilidades de otros fabricantes, pero no siempre incluye todos los productos que una empresa tiene desplegados.

El volumen de 1.094 parches es una mala métrica para medir el riesgo y una buena métrica para medir la carga de trabajo. Lo que decide el impacto es la combinación de exposición, explotación confirmada y privilegios del servicio afectado. Este mes, esa combinación tiene un nombre claro: Outlook. Empezar por ahí y seguir por Exchange y LDAP es la forma más sensata de abordar una lista que, de otro modo, invita a la parálisis.