El INCIBE-CERT publica el boletín de seguridad de Microsoft de noviembre, con 23 fallos críticos y una vulnerabilidad explotada en Outlook.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado el aviso INCIBE-2026-851 con las actualizaciones de seguridad de Microsoft correspondientes a noviembre de 2026.
- ¿Dónde y cuándo? Aviso publicado el miércoles 11 de noviembre a las 09:41 horas, con afectación en Windows, Windows Server, Exchange, SQL Server, SharePoint y Outlook.
- ¿Qué resultado? 24 vulnerabilidades catalogadas, 23 de ellas críticas, y un fallo de severidad media en Outlook para Windows que Microsoft confirma como explotado activamente.
El aviso, identificado como INCIBE-2026-851, se publicó el miércoles 11 de noviembre a las 09:41 horas y llega con una instrucción operativa: aplicar las actualizaciones de noviembre correspondientes a cada producto y cada rama. El documento forma parte de la alerta temprana que el organismo mantiene sobre los ciclos de parcheo de los grandes fabricantes y puede consultarse en el aviso oficial de INCIBE-CERT.
El caso que eleva la urgencia es CVE-2026-124194, una vulnerabilidad de severidad media en Outlook para Windows que Microsoft confirma como explotada activamente. Al abrir un archivo de mensaje manipulado, la aplicación puede conectarse a un recurso externo sin mostrar la advertencia habitual, lo que permitiría revelar el hash NTLMv2 del usuario y facilitar su suplantación. La calificación de severidad media no resta gravedad: la explotación en curso es el factor que obliga a actuar primero sobre los equipos con Outlook.
Veintitrés vulnerabilidades críticas repartidas por el núcleo de Windows
El resto del boletín se reparte por componentes de sistema. Windows y Windows Server concentran la mayoría de los fallos críticos: Windows Search, LDAP, Kerberos, DNS, DHCP, iSCSI, Xbox Live Networking Service, DirectMusic, Color Management, Media Foundation y Virtual Filtering Platform. Las consecuencias descritas van de la ejecución remota de código a la elevación de privilegios o la suplantación de usuarios.
Entre los fallos más relevantes figuran el desbordamiento de búfer en SQL Server (CVE-2026-116945), la escritura fuera de límites en LDAP, que permite a un atacante no autenticado ejecutar código con los permisos del servicio (CVE-2026-119958), y el control de autorización incorrecto en SharePoint Server que habilita la elevación de privilegios (CVE-2026-120002). Azure DevOps Server añade otro fallo crítico: un usuario con permisos de lectura de un proyecto podría provocar la ejecución no autorizada de canalizaciones y ejecutar código en sus agentes (CVE-2026-109467).
Del servidor corporativo al entorno de desarrollo
La corrección exige comprobar compilaciones concretas. Office LTSC 2021 debe quedar en 16.0.14334.21048 o posterior; Office LTSC 2024, en 16.0.17932.21140 o posterior; y Microsoft 365 Apps para empresas, en la compilación corregida que corresponda a su canal de actualización. Para Windows y los productos de servidor, el aviso remite al paquete KB aplicable en la guía de MSRC.
El INCIBE-CERT clasifica como crítica 23 de las 24 vulnerabilidades del boletín: el 95,8% de los fallos corregidos exige actualización inmediata en los sistemas expuestos.
El alcance no se limita a la infraestructura tradicional. Visual Studio Code debe actualizarse a 1.145.3 o posterior y Aspire Dashboard a 13.6.5 o posterior; esta última acumula una falta de autorización que permitiría suplantar a un usuario, acceder a información o modificar la telemetría (CVE-2026-118740) y una inyección de código a través de un servidor MCP malicioso (CVE-2026-120779). En Azure Privileged Identity Management, un control de autorización incorrecto en Microsoft Graph podría permitir asignar roles privilegiados (CVE-2026-114162).
Azure OpenAI queda fuera de la actualización manual: Microsoft ya ha aplicado la corrección en el servicio, tras detectar que la falta de autenticación en una función podía permitir una elevación de privilegios (CVE-2026-119990). El aviso no detalla el número de organizaciones afectadas ni el volumen de equipos expuestos.
El panorama de la ciberseguridad
El boletín de noviembre confirma una tendencia sostenida en el ecosistema Microsoft: la mayoría de los fallos corregidos son críticos y una parte recurrente afecta a componentes de servicio que los administradores no siempre priorizan, como DNS, LDAP, Kerberos o los servicios de red de Xbox Live. Del total de 24 vulnerabilidades, 23 son críticas, un 95,8%, y solo una queda en severidad media: la de Outlook, precisamente la que ya se está explotando.
La eficacia del dispositivo depende del cumplimiento de los plazos. El aviso remite a la guía de actualizaciones de Microsoft y al catálogo de vulnerabilidades explotadas conocidas —el registro público que emplean los equipos de respuesta y que se apoya en el estándar CVE—, además del November 2026 Security Updates y de la ficha específica de la vulnerabilidad de suplantación de Outlook. La proyección operativa es inmediata: los equipos con Outlook para Windows deben parchearse primero, la compilación debe verificarse después y la revisión del resto de ramas —Exchange, SQL Server y SharePoint incluidos— no admite espera, porque un fallo con explotación confirmada rara vez permanece aislado mucho tiempo.
