Patch Tuesday de noviembre de 2026: un zero-day de Outlook que filtra credenciales y más de mil fallos corregidos

Publicado el 11 noviembre 2026 · Equipo mitza.es

El 10 de noviembre de 2026 Microsoft publicó su boletín mensual de seguridad. Tras el récord de más de 1.400 fallos de octubre, este mes vuelve a superar el millar, con un detalle que importa a cualquier oficina que use correo: el único zero-day explotado está en Outlook. Resumimos lo que se sabe a fecha de 11 de noviembre de 2026, contrastado con BleepingComputer, Krebs on Security, SecurityWeek y SANS ISC.

Lo esencial en cinco puntos

• Más de mil vulnerabilidades corregidas: entre 1.093 y 1.260 según quién las cuente (más abajo explicamos por qué).
• Un solo zero-day explotado: CVE-2026-124194, en Outlook. Es una suplantación que expone el hash NTLMv2 de quien abre un archivo de mensaje manipulado. Microsoft lo califica de gravedad moderada (CVSS 6,5).
• Entre 63 y 68 fallos críticos según el medio. Según BleepingComputer, 48 de sus 66 son de ejecución remota de código.
• Las actualizaciones de Windows 10 (ESU) y de Windows 11 ya están disponibles.
• Ninguna de las fuentes que hemos leído menciona otros fallos ya explotados o hechos públicos antes del parche.

Cuántos fallos son: por qué las cifras no coinciden

Como ocurrió en octubre, cada medio da un total distinto. Estos son los que hemos comprobado:

• BleepingComputer: 1.235, incluidos 142 fallos de Microsoft Edge (basado en Chromium). Su recuento solo incluye lo publicado el propio martes y excluye 108 fallos corregidos antes en el mes.
• SANS ISC: 1.260, de ellos 68 críticos y 167 de Chromium que afectan a Edge.
• SecurityWeek: 1.094: 726 de Windows, 174 de Office, 59 de SQL Server, 53 de herramientas de desarrollo, 27 de SharePoint, 20 de Azure y 9 de Exchange.
• Krebs on Security: 1.093, con 63 críticos.

Parece que la diferencia está sobre todo en cómo se cuentan los fallos de Edge y los corregidos antes del martes. Solo BleepingComputer explica su criterio; los demás no detallan el suyo, así que no podemos afirmarlo con seguridad. Para una pyme la conclusión no cambia: es un volumen enorme, y lo que importa es qué parchear primero.

El zero-day de Outlook: CVE-2026-124194

Microsoft lo describe como una vulnerabilidad de suplantación: Outlook no avisa al usuario antes de una acción potencialmente peligrosa. Si un atacante consigue que alguien abra un archivo de mensaje manipulado, Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo y le entrega el hash NTLMv2 del usuario. Microsoft confirma que ya se está explotando, y SecurityWeek añade que no se había hecho público antes de que existiera el parche.

Qué es un hash NTLMv2 y por qué importa

NTLM es un protocolo de autenticación de Windows. Cuando tu equipo se identifica ante otro, no envía la contraseña tal cual, sino un valor calculado a partir de ella: el hash. En términos generales, quien obtiene ese valor puede intentar descifrar la contraseña probando combinaciones en su propio equipo o, en algunos entornos, reutilizarlo para identificarse ante otros servicios. Cuanto más larga y única es la contraseña, más difícil es lo primero. Para el caso concreto, las fuentes solo hablan de la filtración del hash, no de qué hace después el atacante.

Cómo se puede (y no se puede) explotar

• El atacante no necesita estar autenticado: basta con enviar el archivo y convencer a la persona de que lo abra.
• Hace falta que el usuario lo abra. Según Microsoft, el fallo no se activa solo con la vista previa de Outlook.
• Requiere conectividad de red y la interacción del usuario, según la descripción de Microsoft que cita BleepingComputer.

A quién afecta

SecurityWeek cita Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024; Krebs habla de Microsoft 365 Apps for Enterprise y ediciones de Office. Ninguna fuente da números de compilación, así que lo más práctico es comprobar que Office está al día. Si utilizas Office 2021, te conviene repasar también el aviso sobre el fin de soporte de Windows 11 24H2 y Office 2021. Las fuentes no detallan otros productos, y no hemos encontrado ninguna medida alternativa al parche.

Qué hacer con este fallo

1. Actualiza Office. En Outlook: Archivo → Cuenta de Office → Opciones de actualización → Actualizar ahora. En equipos gestionados, pide a tu proveedor que confirme la versión.
2. Avisa al personal de que no abra archivos de mensaje ni adjuntos inesperados, aunque parezcan venir de un contacto. Es la misma regla que con los mensajes falsos y los códigos QR falsificados.
3. Limita las conexiones salientes del cortafuegos. Bloquear el tráfico SMB (puerto 445) hacia internet es una buena práctica general; las fuentes no detallan qué protocolo usa este ataque, así que es una medida de refuerzo y no un sustituto del parche. Tienes la base en qué es un firewall y qué necesita una pyme.
4. Usa contraseñas largas y únicas y activa la verificación en dos pasos. Puedes comprobar la fortaleza de una contraseña en nuestro comprobador de contraseñas y crear otras con el generador, que funcionan en tu navegador.
5. Si sospechas que alguien abrió un archivo extraño, cambia su contraseña y avisa a tu proveedor de informática.

Otros fallos críticos que conviene mirar

Entre los críticos que citan BleepingComputer y SANS ISC, estos son los que más pueden afectar a una oficina:

• Servidores de identidad y correo: ejecución remota en Active Directory Domain Services (CVE-2026-118146) y en Exchange Server (CVE-2026-118207). Si tienes un servidor propio, es prioritario.
• Office: tres fallos de ejecución remota en Excel (CVE-2026-118292, CVE-2026-118296 y CVE-2026-118297) y uno en Microsoft Defender (CVE-2026-122194).
• Windows: CredSSP (CVE-2026-119962), Windows Deployment Services (CVE-2026-119951), fuentes gráficas (CVE-2026-119969), TCP/IP (CVE-2026-113859) y LDAP (CVE-2026-119958). SANS recomienda no exponer este último a internet.

Hay más críticos en la lista completa de Microsoft; no hemos podido contrastar todos con fuentes independientes, así que aquí recogemos solo los que aparecen literalmente en las notas de BleepingComputer y SANS.

Windows 10 y Windows 11: las actualizaciones de noviembre

Windows 10 (actualización de seguridad extendida, ESU)

La actualización KB5131096 incluye los parches del mes y corrige, entre otras cosas, un error de impresión (código 87) al añadir impresoras publicadas en Active Directory. Introduce un cambio que conviene saber si usas scripts: una validación más estricta de la codificación al firmar scripts de PowerShell, de modo que los que tengan UTF-8 no válido pueden fallar la validación de la firma. BleepingComputer indica que Microsoft no lista problemas conocidos abiertos. Si sigues con Windows 10, repasa qué opciones tienes en Windows 10 ESU: qué hacer en tu pyme.

Windows 11

Las actualizaciones KB5132061 y KB5131087 son obligatorias porque incluyen los parches del mes. Según BleepingComputer, Microsoft no conoce incidencias nuevas (hay comentarios de usuarios que hablan de fallos al instalarlas, sin confirmar). Añaden mejoras como un menú contextual del Explorador de archivos más personalizable y la reinstalación de WinRE desde Windows Update. Dos avisos: se añade una advertencia antes de las operaciones de protección de datos con petición (DPAPI), cuya experiencia con petición se retirará en abril de 2027; y, según SecurityWeek, este es el último parche mensual para las ediciones Enterprise y Education de Windows 11 23H2.

Qué hacer esta semana: checklist

1. Primero, lo explotado: actualiza Office y Outlook en todos los equipos (ver arriba).
2. Servidores: si tienes Exchange Server o controladores de dominio, planifica ya su actualización, con copia previa.
3. Puestos Windows: prueba la actualización en uno o dos equipos y despliega al resto en uno o dos días, salvo que se detecte un problema.
4. Comprueba que se han aplicado (versión de Windows y de Office) y anota fecha y equipos.
5. Si te quedan equipos sin actualizar, aplica las pautas de nuestra guía para leer un aviso y fijar plazos de parcheo: un fallo explotado se atiende en 24–48 horas.
6. Ten copias de seguridad recientes y probadas.

Preguntas rápidas

¿Por qué importa si el fallo es «moderado»?

La puntuación mide la gravedad técnica, no si alguien lo está atacando. Este fallo ya se explota, y robar un hash de credenciales puede ser el primer paso de un ataque mayor. Por eso lo tratamos como urgente.

¿Tengo que actualizar los 1.000 fallos?

Las actualizaciones mensuales los incluyen todos. Lo que decide el orden es qué está explotado, qué está expuesto a internet y qué afecta a tus servidores.

¿Y si mi empresa usa Microsoft 365?

Las aplicaciones de Microsoft 365 se actualizan solas, pero no siempre al instante. Comprueba la versión y fuerza la actualización desde Outlook si no estás seguro.

Cómo te ayudamos en Mitza

Revisamos las versiones de Windows y Office de todos tus equipos, aplicamos lo urgente primero y te dejamos un registro de lo hecho. Mira nuestro mantenimiento informático para pymes o cuéntanos tu caso desde la página de contacto.

Lectura relacionada: el octavo zero-day de Chrome en 2026 y el Patch Tuesday de septiembre.