Microsoft publicó el 10 de noviembre de 2026 sus actualizaciones mensuales con 1.094 vulnerabilidades corregidas, por debajo de las 1.413 de octubre pero muy por encima de lo que cualquier equipo puede revisar en una tarde. El desglose del lanzamiento deja 726 fallos en Windows y 174 en Office. Detrás aparecen 59 en SQL Server, 53 en las herramientas de desarrollo de la compañía, 27 en SharePoint Server, 20 en Azure y 9 en Exchange Server.
Entre esos 1.094 parches hay uno que no admite espera. Se trata de CVE-2026-124194, un fallo de suplantación en Outlook que Microsoft reconoce como explotado y que solo exige que la víctima abra un archivo de mensaje manipulado. El resultado acaba siendo el hash NTLMv2 del usuario en manos del atacante, una credencial reutilizable para autenticarse como esa persona en los servicios que confían en NTLM. La nota CVSS es 6.5 y la severidad que asigna el fabricante es moderada.
Ese 6.5 es la parte incómoda del boletín. Un fallo con explotación activa y una nota media compite mal por la atención de un equipo con la agenda llena, y el riesgo no depende de la nota sino de lo que expone: una credencial de red que sirve para moverse por la infraestructura corporativa. Quien administre Office en una empresa debería leer el resto del boletín después de parchear esto.
El reparto de los 1.094 parches de noviembre
El resumen de versión de Microsoft ordena los fallos por familia y deja a Windows con dos tercios del total. La tabla recoge las cifras que la compañía publica y qué conviene mirar primero en cada bloque de productos.
| Familia |
Fallos corregidos |
Qué pesa más |
| Windows |
726 |
Actualizaciones críticas en Windows 10, Windows 11 y Server 2016 a 2025 |
| Office |
174 |
El cero-día CVE-2026-124194 en Outlook |
| SQL Server |
59 |
Correcciones en el motor de base de datos y sus componentes |
| Herramientas de desarrollo |
53 |
Componentes que acaban en portátiles de ingeniería |
| SharePoint Server |
27 |
Servidores internos con acceso a documentos corporativos |
Fuera de la tabla quedan los 20 fallos de Azure y los 9 de Exchange Server, más 165 CVE de terceros que Microsoft republicó en su propio boletín y que no incluyen los de Chrome. La cifra de octubre, con 1.413 fallos, recuerda que el récord de volumen no se bate todos los meses.
El boletín también cierra una etapa para Windows 11 versión 23H2, que recibe sus últimas actualizaciones mensuales en las ediciones Enterprise y Education. Quien siga anclado a esa versión dejará de recibir correcciones en diciembre.
El cero-día de Outlook que esquiva la vista previa
El aviso de Microsoft describe un ataque sin autenticación previa. El atacante envía un archivo de mensaje preparado y convence a la víctima de abrirlo en una versión afectada de Outlook; al abrirlo, el cliente de correo se conecta a una ubicación de red que controla el atacante sin mostrar el aviso habitual de contenido externo. En ese tráfico viaja el hash NTLMv2 de la cuenta, que después sirve para autenticarse como el usuario.
Dos matices técnicos cambian la conversación sobre el riesgo. El primero es que el fallo no se dispara desde el panel de vista previa, así que la única interacción necesaria es abrir el archivo. El segundo es que la vulnerabilidad no se divulgó antes de que existiera el parche, lo que deja sin margen a quien no aplique la actualización en cuanto esté disponible.
Los productos afectados son Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024, los tres productos que enumera el aviso. El registro de CVE-2026-124194 en NVD fecha la publicación el 10 de noviembre de 2026 y clasifica el fallo como CWE-356, la categoría de interfaces que no avisan al usuario de una acción peligrosa.
El aviso del fabricante no detalla los ataques observados ni el número de víctimas, así que no hay forma pública de saber si el fallo se está usando contra un sector concreto o de manera oportunista.
La única pista firme es la propia entrada en el catálogo de CISA, que lo coloca entre los fallos con explotación confirmada y le da un plazo federal más largo que el de Barracuda.
¿Por qué el hash vale más que el acceso inicial?
Un hash NTLMv2 no es una contraseña en texto claro, pero sirve para lo mismo en muchas redes. Con esa cadena, un atacante puede montar un relay NTLM contra servicios que aceptan autenticación de red, o romper la contraseña fuera de línea si el hash cae en un diccionario conocido. La suplantación que Microsoft asigna al CVE describe el primer paso de la cadena, no su alcance final.
El alcance lo pone siempre la red de la víctima: un portátil sin restricciones de salida y con SMB abierto convierte un archivo abierto en una sesión válida dentro del dominio corporativo.
Por ese motivo las auditorías de identidad insisten en desactivar NTLM donde se pueda y en exigir firmado SMB. Ninguna de esas medidas sustituye al parche, pero reducen el daño cuando el hash ya ha salido de la organización y el equipo de seguridad solo puede reaccionar. La combinación de un fallo de nota media con explotación confirmada es justo el escenario en el que la ventana mensual de parcheo llega tarde.
CISA suma seis fallos y fija dos plazos
El mismo 10 de noviembre de 2026, CISA añadió seis vulnerabilidades a su catálogo de fallos con explotación real. Dos afectan a Barracuda Email Security Gateway: CVE-2026-116606, un bypass de autenticación de 9.3, y CVE-2026-111560, una inyección de comandos de 8.6. Las agencias federales de Estados Unidos tienen hasta el 13 de noviembre para cerrar ambas.
El resto del lote incluye CVE-2026-20320 en Cisco BroadWorks, CVE-2026-111793 en el transcoder Webtop de Openwave, el propio CVE-2026-124194 de Outlook y CVE-2026-125350 de Chrome, el octavo cero-día de Chrome en 2026, que ya tiene pieza propia en este medio. Un resumen de la jornada confirma la lista completa y los vencimientos federales de cada entrada.
Para Outlook y Chrome el plazo federal es el 24 de noviembre, once días después del de Barracuda. La diferencia entre un vencimiento y otro no es caprichosa: refleja la urgencia que CISA atribuye a cada fallo y marca el orden en que conviene revisar la propia exposición.
Ese plazo solo obliga a las agencias federales de Estados Unidos, pero los equipos de seguridad del resto del mundo lo leen como un termómetro de urgencia real y como coartada ante su propia dirección.
Lo primero que debes parchear
La secuencia razonable empieza por Outlook en los puestos con Microsoft 365 Apps for Enterprise u Office LTSC 2021 y 2024, sigue por los equipos que reciben correo externo sin filtros agresivos y termina en el resto del parque. Windows puede esperar a la ventana mensual, salvo que haya servidores con RDP o SMB expuestos a internet, donde los 726 fallos incluyen correcciones críticas que no conviene acumular.
Hay un detalle de distribución que también cuenta. Algunas correcciones de Microsoft llegan solo por la Microsoft Store y no por Windows Update, como ocurrió con el fallo de Paint CVE-2026-83844, así que una política que solo mira el ciclo mensual deja huecos. Conviene cruzar el inventario con el catálogo de la tienda antes de dar el mes por cerrado.
La misma lógica aplica a los dispositivos de borde. El fallo de SonicWall CVE-2026-19868, que permitía entrar al VPN sin superar el MFA, sigue siendo el recordatorio de que los appliances expuestos se parchean fuera de calendario y que el catálogo de CISA funciona como lista de prioridades, no como trámite administrativo.
Lo que el volumen dice del ciclo de parches
Un boletín de 1.094 fallos no se lee, se filtra. La cifra mezcla 165 CVE de terceros republicados con familias enteras de errores que ninguna organización va a ver explotados, mientras el fallo que importa esta semana es uno de 6.5 que entrega una credencial y que no necesita más que un doble clic. El volumen mide la salud del proceso de desarrollo de un proveedor; la prioridad la marcan la explotación activa y el plazo del catálogo del KEV, que esta vez deja dos semanas al fallo de Outlook y tres días al de Barracuda, contados desde la publicación del boletín.
Microsoft ha corregido más de 5.000 vulnerabilidades en 2026. Con ese calendario, la única defensa sostenible es un inventario decente y un orden de parcheo escrito antes de que llegue el boletín, porque la alternativa es confiar en que nadie abra el archivo equivocado.
