ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Microsoft

Alerta 2026-151 Explotación activa en Outlook y 64 fallas críticas en el Patch Tuesday de noviembre

Producto(s) afectado(s): 

FamiliaActualizaciones principales
Windows 11 y Windows 10KB5132061 (24H2, 25H2 y 26H2; compilaciones 26100.9974 / 26200.9974 / 26300.9974), KB5132059 (26H1), KB5131087 (23H2), KB5131096 (21H2 y 22H2) y KB5131085 (1809)
Windows ServerKB5131080 (2025), KB5131090 (2022), KB5131085 (2019) y KB5131291 (2016)
Office y Microsoft 365 AppsMicrosoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024
Servidores de aplicacionesExchange Server Subscription Edition (KB5133453); SQL Server 2017, 2019, 2022 y 2025; SharePoint Server Subscription Edition; Microsoft Defender (motor 1.1.26100.4)
Servicios en la nubeEntra Device Registration y Azure OpenAI (ya mitigadas, sin acción del cliente); Azure Managed Grafana (sí exige acción del cliente)

Las actualizaciones se publicaron el 10/11/2026 a las 13:00 (PYT). En Windows 11 24H2/25H2/26H2, KB5132043 es la alternativa de hotpatch, no un segundo parche encima de KB5132061; en Server 2025, KB5131077 es la alternativa a KB5131080.

Descripción

Se han publicado las actualizaciones de seguridad de noviembre de 2026 de Microsoft, que incluyen una vulnerabilidad ya explotada en Outlook y 64 fallas que el proveedor clasifica como críticas (48 de ejecución remota de código y 16 de elevación de privilegios). El documento oficial reúne 1.342 registros: 1.094 CVE de Microsoft de este ciclo, la falla de Entra Device Registration anticipada el 05/11/2026, 165 CVE republicadas de Chrome y 82 de Azure Linux y otros componentes de terceros.

La única vulnerabilidad de Microsoft de este lote con explotación confirmada es CVE-2026-124194, de spoofing en Outlook, con CVSS 6.5, media (el proveedor la etiqueta Moderate, no Critical). Según el proveedor, un atacante sin credenciales envía un archivo de mensaje manipulado y convence al usuario de abrirlo; Outlook se conecta a un servidor del atacante sin mostrar la advertencia habitual de contenido externo y entrega el hash NTLMv2, que puede usarse para autenticarse como la víctima o en un ataque de retransmisión. Hace falta interacción del usuario (abrir el archivo) y conectividad de red. El panel de vista previa no es un vector de esta CVE. Los productos afectados son Microsoft 365 Apps for Enterprise y Office LTSC 2021 y 2024; Office 2019 y las ediciones para Mac no figuran en este aviso concreto. El proveedor no la daba por divulgada públicamente antes del parche y no publicó una solución alternativa. El 10/11/2026 a las 16:03 (PYT) la vulnerabilidad entró en catálogos de vulnerabilidades explotadas conocidas, con plazo federal al 24/11/2026. No se localizó una prueba de concepto pública. No hay otra falla de Microsoft en este ciclo con explotación detectada ni con divulgación pública previa.

Entre las 64 críticas, CVE-2026-109469 en Entra Device Registration llega a CVSS 10.0, crítica, y CVE-2026-119990 en Azure OpenAI a CVSS 9.8, crítica; el proveedor ya las mitigó en el servicio y el cliente no tiene que aplicar un parche. Sí hay que actualizar, entre otras, LDAP (CVE-2026-119958, CVSS 9.8, crítica), Windows Search (CVE-2026-116928, CVSS 9.8, crítica: un adjunto enviado a Exchange puede indexarse sin que el destinatario lo abra), Active Directory (CVE-2026-118146 y CVE-2026-118148), Exchange Server Subscription Edition (CVE-2026-118207, CVSS 8.8, alta; solo esa edición, no se afirma afectación de Exchange 2019 o 2016), Schannel (CVE-2026-119952) y NAT (CVE-2026-113862). El proveedor marca como más probables de explotar las de Active Directory, Exchange, Schannel y NAT. En Office, ocho críticas distintas de la 124194 tienen el panel de vista previa como vector (CVE-2026-110043, 110068, 111309, 110067, 111285, 124185, 111289 y 120003); no están explotadas.

Varias fallas de CVSS 9.8 en DNS (CVE-2026-88218), DHCP Server (CVE-2026-88243), Kerberos (CVE-2026-85844) y SQL Server (CVE-2026-116945) las clasifica Microsoft como Important, no Critical. Conviene priorizarlas de todos modos, en especial Kerberos en controladores de dominio —un atacante sin autenticación puede reenviar tráfico Kerberos y llegar a SYSTEM— y SQL Server, donde un paquete de integración puede ejecutar código en el contexto del servicio sin credenciales de SQL. Ninguna de las 64 críticas de Microsoft figura, al 10/11/2026, en catálogos de vulnerabilidades explotadas conocidas. Tampoco se identificó explotación conocida de esas críticas ni una prueba de concepto pública de la de Outlook.

En una nota aparte, ajena a Microsoft: CVE-2026-20320 en Cisco BroadWorks (CVSS 7.5, alta) es una falla XXE en el analizador XML de Open Client Interface que permite a un atacante remoto sin autenticación leer archivos de configuración. Afecta Application Delivery Platform, Application Server, Profile Server y Xtended Services Platform, y se corrige a partir de RI.2026.07; el proveedor no publicó soluciones alternativas. El 10/11/2026 también entró en catálogos de vulnerabilidades explotadas conocidas, con el mismo plazo federal al 24/11/2026. El aviso del fabricante, en su texto del 19/08/2026, no confirma uso malicioso; no se le atribuye aquí una confirmación de explotación que ese aviso no actualizó.

Mitigación

Se recomienda instalar de inmediato las actualizaciones de noviembre de Windows, Office y Microsoft 365 Apps, Exchange Server Subscription Edition, SQL Server, SharePoint, el motor de Defender y Microsoft Edge. Una prioridad práctica es: 1) Outlook y el resto de Office (CVE-2026-124194 y las críticas cuyo vector es el panel de vista previa); 2) controladores de dominio (LDAP, Kerberos, Active Directory); 3) servidores Exchange (KB5133453 y el parche de Windows que cierra Windows Search); 4) Schannel, NAT, DNS, DHCP e IIS; 5) SQL Server, sin exponerlo a Internet.

En Windows 11 24H2, 25H2 y 26H2 usar KB5132061 o, si el equipo está en hotpatch, KB5132043, no ambas como si fueran acumulativas distintas. En Server 2025, KB5131080 o el hotpatch KB5131077. Contrastar la compilación esperada. En Entra Device Registration y Azure OpenAI no hay parche de cliente; el proveedor indica que ya las mitigó. Azure Managed Grafana sí figura con acción del cliente: revisar el aviso vigente y el portal de Azure.

El proveedor no publicó una solución alternativa para CVE-2026-124194 ni para las 64 críticas. Mientras se parchea, como medidas generales —no oficiales— se puede bloquear la salida de SMB/NTLM hacia Internet (TCP 445 y UDP 137 a 139), restringir NTLM donde sea posible, no exponer a Internet los puertos de LDAP, DNS, DHCP, Kerberos, SQL Server, Message Queuing ni la administración de Exchange, y vigilar autenticaciones NTLM o retransmisiones Kerberos anómalas. El parche cierra la falla, pero no revierte un compromiso previo. Si hay sospecha de uso de la 124194, rotar credenciales de las cuentas que pudieran haber filtrado el hash.

El proveedor no publicó indicadores de compromiso, hashes, direcciones IP ni firmas para la 124194 ni para las críticas.

Vulnerabilidades críticas de Microsoft (64)

Las siguientes tablas recogen las 64 vulnerabilidades que Microsoft clasifica como Critical en este ciclo (48 RCE y 16 EoP). Los puntajes son CVSS 3.1 del proveedor, con la gravedad en palabras. Ninguna de estas 64 aparece con explotación detectada. Cuatro CVE de Chrome/Edge también figuran como Critical en el mismo documento, pero son republicadas y no forman parte de estas 64; se corrigen actualizando Microsoft Edge.

Servicios en la nube

CVEComponenteTipoCVSS
CVE-2026-109469Entra Device RegistrationEoP10.0, crítica
CVE-2026-119990Azure OpenAIEoP9.8, crítica
CVE-2026-114160Azure Managed GrafanaEoP9.8, crítica

CVE-2026-109469 y CVE-2026-119990 ya están mitigadas en el servicio, sin acción del cliente. CVE-2026-114160 sí exige acción del cliente. Su puntaje CVSS 9.8 figura en la Security Update Guide; el documento CVRF de este ciclo no lo incluye.

Windows: red, directorio y servicios

CVE-2026-118146, CVE-2026-118148, CVE-2026-118207, CVE-2026-113862 y CVE-2026-119952 las marca el proveedor como más probables de explotar. CVE-2026-116928 puede alcanzar servidores Exchange al indexar un adjunto, sin que el destinatario lo abra. CVE-2026-118207 afecta solo a Exchange Server Subscription Edition. CVE-2026-125136, CVE-2026-113752, CVE-2026-113859, CVE-2026-118145 y CVE-2026-125134 se explotan desde una red adyacente.

CVEComponenteTipoCVSS
CVE-2026-112967Xbox Live Networking ServiceRCE9.8, crítica
CVE-2026-116928Windows SearchRCE9.8, crítica
CVE-2026-119958LDAPRCE9.8, crítica
CVE-2026-118146Active Directory Domain ServicesRCE8.8, alta
CVE-2026-118148Active Directory Domain ServicesEoP7.5, alta
CVE-2026-118207Exchange Server Subscription EditionRCE8.8, alta
CVE-2026-125136Network Connected Devices Auto-SetupRCE8.8, alta
CVE-2026-109459Message Queuing Queue ManagerRCE8.1, alta
CVE-2026-116710Message QueuingRCE8.1, alta
CVE-2026-119963Message QueuingRCE8.1, alta
CVE-2026-119964Message QueuingRCE8.1, alta
CVE-2026-119967Message Queuing Queue ManagerRCE8.1, alta
CVE-2026-113862NATRCE8.1, alta
CVE-2026-118737RPC RuntimeRCE8.1, alta
CVE-2026-119951Deployment ServicesRCE8.1, alta
CVE-2026-119952SchannelRCE8.1, alta
CVE-2026-119961Internet Information ServicesRCE8.1, alta
CVE-2026-119962CredSSPRCE8.1, alta
CVE-2026-113752Print SpoolerRCE7.5, alta
CVE-2026-113825SMB Server (srvnet.sys)RCE7.5, alta
CVE-2026-113859TCP/IPRCE7.5, alta
CVE-2026-118145Function Discovery SSDP ProviderRCE7.5, alta
CVE-2026-125134Function Discovery Resource PublicationRCE7.5, alta

Office, códecs y Defender

En CVE-2026-110043, 110068, 111309, 110067, 111285, 124185, 111289 y 120003 el proveedor indica que el panel de vista previa sí es un vector; ese vector no corresponde a CVE-2026-124194. Varias de Word, Excel y Office también listan ediciones para Mac, según cada aviso.

CVEComponenteTipoCVSS
CVE-2026-110043OutlookRCE8.8, alta
CVE-2026-110068OutlookRCE8.8, alta
CVE-2026-111309OutlookRCE8.8, alta
CVE-2026-110047WordRCE8.8, alta
CVE-2026-110067WordRCE8.8, alta
CVE-2026-111285WordRCE8.8, alta
CVE-2026-124185WordRCE7.5, alta
CVE-2026-111289OfficeRCE8.8, alta
CVE-2026-120003OfficeRCE8.8, alta
CVE-2026-118292ExcelRCE8.8, alta
CVE-2026-118296ExcelRCE8.8, alta
CVE-2026-118297ExcelRCE8.8, alta
CVE-2026-118701ExcelRCE8.8, alta
CVE-2026-118702ExcelRCE8.8, alta
CVE-2026-118711ExcelRCE8.8, alta
CVE-2026-118713ExcelRCE8.8, alta
CVE-2026-118730ExcelRCE8.8, alta
CVE-2026-120786ExcelRCE8.8, alta
CVE-2026-120788ExcelRCE8.8, alta
CVE-2026-120789ExcelRCE8.8, alta
CVE-2026-124170ExcelRCE7.5, alta
CVE-2026-119969Graphic FontsRCE8.8, alta
CVE-2026-120005PowerPointRCE8.8, alta
CVE-2026-114169Raw Image ExtensionRCE8.8, alta
CVE-2026-113749Biblioteca de códecs de WindowsRCE7.5, alta
CVE-2026-122194Microsoft Malware Protection EngineRCE8.8, alta

Windows: virtualización, gráficos y componentes locales

CVEComponenteTipoCVSS
CVE-2026-113753Hyper-VEoP8.2, alta
CVE-2026-113856Hyper-VEoP7.8, alta
CVE-2026-113865Hyper-VEoP7.8, alta
CVE-2026-113861Hyper-VEoP7.5, alta
CVE-2026-119947Hyper-VEoP7.5, alta
CVE-2026-119960Hyper-VEoP7.5, alta
CVE-2026-113860Hyper-VEoP7.0, alta
CVE-2026-113864Hyper-VEoP6.4, media
CVE-2026-119382TPMEoP7.8, alta
CVE-2026-119957Remote Desktop ServicesEoP7.8, alta
CVE-2026-125137Graphics KernelEoP7.8, alta
CVE-2026-119966Graphics KernelEoP7.5, alta

Importantes de CVSS 9.8 (no son Critical)

Microsoft etiqueta como Important, no Critical, las siguientes cuatro fallas de CVSS 9.8, crítica, sin autenticación ni interacción. Se recomienda priorizarlas de todos modos, sobre todo en controladores de dominio y en SQL Server que no debe quedar expuesto a Internet. Hay otras Important de CVSS 9.0 o superior (por ejemplo Azure DevOps, SharePoint, iSCSI, DirectMusic o Color Management) que no se detallan aquí.

CVEComponenteTipoCVSS
CVE-2026-88218DNSRCE9.8, crítica
CVE-2026-88243DHCP ServerRCE9.8, crítica
CVE-2026-85844KerberosEoP9.8, crítica
CVE-2026-116945SQL ServerRCE9.8, crítica

Solución

La solución consiste en aplicar las actualizaciones de seguridad de noviembre de 2026 en Windows, Microsoft 365 Apps y Office LTSC, Exchange Server Subscription Edition, SQL Server y el resto de productos afectados, con prioridad para Outlook, los controladores de dominio, Exchange y los servicios de red expuestos. En Entra Device Registration y Azure OpenAI no hay parche de cliente porque el proveedor ya mitigó esas fallas en el servicio. Las compilaciones de Office se consultan en las notas de seguridad de Office; para la 124194, entre otras, Office LTSC 2021 (16.0.14334.21048) y Office LTSC 2024 (16.0.17932.21140), más los canales de Microsoft 365 Apps (Current Channel 2610, 20527.20196, entre otros). En SQL Server, elegir la rama CU+GDR o RTM+GDR que corresponda (por ejemplo KB5129299 o KB5129300) y no mezclar paquetes a ciegas.

Para BroadWorks, actualizar a RI.2026.07 o posterior.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://msrc.microsoft.com/update-guide/releaseNote/2026-Nov

Información adicional: