Microsoft lanzó una masiva actualización de seguridad corrigiendo 1,094 errores, destacando una vulnerabilidad de Outlook ya explotada por atacantes. El reporte alerta sobre amenazas críticas de ejecución remota de código sin interacción del usuario en servicios de Exchange y LDAP. Expertos recomiendan priorizar el parcheo inmediato debido al volumen récord de vulnerabilidades detectadas mediante IA.







Es otro Patch Tuesday descomunal, con Microsoft corrigiendo 1.094 errores en sus productos aquí, incluido uno que los atacantes explotaron antes de que Redmond publicara un parche. Jake Knott, jefe de inteligencia de amenazas de la firma de gestión de exposición watchTowr, dijo sucintamente en un correo electrónico: “Tal vez deberíamos irnos a casa”.

“La mayoría de los equipos de seguridad no se han recuperado del último mes de vulnerabilidades críticas constantes, parches de emergencia y todo marcado como ‘2shell’, y ya estamos nuevamente en otro Patch Tuesday”, nos dijo Knott.

Empezando por el zero-day: es una vulnerabilidad de suplantación (spoofing) de Outlook, rastreada como CVE-2026-124194, y solo obtuvo una calificación CVSS de 6.5 sobre 10. Pero como advierte Dustin Childs, jefe de concienciación de amenazas en la Zero Day Initiative de TrendAI, no permitas que la puntuación o el nombre te lleven a pensar que está bien posponer este parche.

“Está etiquetado como suplantación, pero el impacto es mayor de lo que sugiere el nombre”, dijo Childs en su revisión mensual del Patch Tuesday aquí.

“Un atacante envía un archivo de mensaje especialmente diseñado y convence a un usuario para que lo abra”, escribió. “Outlook se conecta entonces a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo, lo que revela el hash NTLMv2 del usuario. El atacante puede usar ese hash para autenticarse como el usuario”.

Microsoft marcó el CVE-2026-124194 como explotado, pero, como es habitual, no dijo cuándo comenzaron los ataques, quién está atacando este error y qué están haciendo con el acceso posterior a la explotación. Es probable que estos detalles empiecen a filtrarse pronto.

Además, ahora que hay una corrección pública, otros malhechores indudablemente ya están escaneando versiones vulnerables y haciendo ingeniería inversa al parche para sus propios fines de ataque. Por lo tanto, priorice esta corrección y esté atento a su bandeja de entrada para cualquier archivo sospechoso.

Meses consecutivos de más de 1.000 CVE

A pesar de ser el segundo mes con más de 1.000 CVE (octubre tuvo 1.474 aquí), el CVE-2026-124194 es el único bajo explotación activa, y ninguno de los 1.094 figura como conocido públicamente. Childs dice que esto no debería dar a las organizaciones una “falsa comodidad”.

“Registrar meses consecutivos por encima de los 1.000 CVE demuestra que la búsqueda automatizada de errores ha restablecido permanentemente el volumen de parches”, afirmó. “Con la IA haciendo que la comparación de parches y la generación de exploits sean casi instantáneas, la ventana de amenaza se abre en el minuto en que se lanzan estas actualizaciones”.

Para los defensores, esto significa dos cosas, añadió Childs.

“Lo que los defensores necesitan saber y hacer ahora mismo es abandonar el triaje general y tomar medidas defensivas inmediatas: parchear primero Exchange y los Controladores de Dominio (LDAP/Kerberos) para detener el compromiso sin clics, aislar los servicios de red expuestos como DNS y DHCP para evitar la propagación tipo gusano, y verificar las correcciones administrativas manuales en sus servicios en la nube”, señaló.

Amenazas de cero clics

Hay dos amenazas de cero clics en el lote de correcciones de este mes: CVE-2026-116928 y CVE-2026-119958. Ambas son críticas, con calificaciones CVSS de 9.8, en parte porque no requieren ninguna interacción del usuario para ser explotadas.

El CVE-2026-116928 es una escritura fuera de límites en el Componente de Búsqueda de Microsoft Windows que podría conducir a la ejecución remota de código. Un atacante no autenticado podría abusar de esta función de búsqueda en Exchange “enviando un correo electrónico que contenga un archivo adjunto especialmente diseñado”, advirtió Redmond. “Exchange procesa automáticamente el adjunto para la indexación, por lo que el destinatario no necesita abrir el correo ni el adjunto”.

El CVE-2026-119958 es una vulnerabilidad de escritura fuera de límites en la implementación de Windows del Protocolo Ligero de Acceso a Directorios (LDAP) que podría permitir a atacantes no autenticados ejecutar código remotamente sin interacción del usuario. Esta puede ser explotada enviando solicitudes LDAP diseñadas específicamente a sistemas vulnerables, comprometiendo potencialmente los controladores de dominio.

Childs también contabiliza 30 CVE que representan un “riesgo de gusano”, que requieren cero autenticación y cero interacción del usuario a través de una red. Todos ellos están enumerados en su blog, por lo que priorice la corrección de esos también.

Y… ejecución remota de código en Xbox

Y finalmente, para completar, un fallo crítico en el Servicio de Red de Xbox Live de Windows, CVE-2026-112967, que podría permitir la ejecución remota de código también entró en el resumen de este mes. Es una vulnerabilidad de desbordamiento de montículo (heap-overflow) con una calificación CVSS de 9.8 que no requiere autenticación ni interacción del usuario para ser explotada.

Así que no se tome un descanso para jugar entre las pruebas de las actualizaciones de noviembre. O, si lo hace, al menos asegúrese de que los sistemas Windows vulnerables que ejecutan el Servicio de Red de Xbox Live también estén en su lista de parches. ®

Fuente:
TheRegister