Microsoft lanzó parches para 1,259 vulnerabilidades en diversos productos, incluyendo Windows y Office. Destaca un fallo en Outlook que ya está siendo explotado y permite el robo de identidades mediante el envío de archivos maliciosos. Debido a este riesgo, la CISA ha exigido a las agencias federales aplicar la corrección urgentemente.






Microsoft lanzó el martes parches para un total de 1.259 vulnerabilidades aquí que abarcan su cartera de software, siendo el segundo mes consecutivo en el que el volumen de parches ha superado los 1.000 fallos.

Estos cubren 726 fallos en Windows, 174 en Office, 61 en herramientas de desarrollador, 59 en SQL Server, 53 en herramientas de desarrollador y 27 en SharePoint Server. Los parches también incluyen 165 identificadores CVE no emitidos por Microsoft. Más de 500 fallos se relacionan con la elevación de privilegios, seguidos de errores de ejecución remota de código y divulgación de información.

Con esta última ronda de correcciones, Microsoft ha solucionado más de 5.100 CVE solo este año, según Satnam Narang, ingeniero senior de investigación en Tenable.

De estos, un fallo de seguridad de gravedad moderada en Microsoft Outlook (CVE-2026-124194, puntuación CVSS: 6.5) ha sido señalado por Microsoft como activamente explotado.

"La interfaz de usuario del producto no advierte a los usuarios de acciones inseguras en Microsoft Office Outlook, lo que permite que un atacante no autorizado realice un spoofing a través de una red", afirmó Microsoft en un aviso.

Un atacante no autenticado podría enviar un archivo de mensaje especialmente diseñado y persuadir a un objetivo para que lo abra en una versión afectada de Microsoft Outlook.

Esto, a su vez, podría provocar que Outlook se conecte a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo, divulgando potencialmente información de autenticación, como un hash NTLMv2, que podría usarse para suplantar al usuario.

Microsoft enfatizó que la explotación exitosa requiere conectividad de red e interacción del usuario. El gigante tecnológico acreditó a un investigador llamado Nono y a Benoît Sevens de Anthropic (usando Claude) el descubrimiento y reporte del fallo.

"El correo electrónico es la puerta más fácil hacia cualquier empresa, y este fallo convierte un archivo abierto en una identidad robada", dijo Jack Bicer, director de investigación de vulnerabilidades en Action1. "Un hash capturado puede permitir que un atacante inicie sesión como la víctima, lea sus datos y se mueva a otros sistemas a los que pueda acceder".

"La etiqueta de Moderado infravalora este caso. Los atacantes ya lo están explotando, solo necesita un clic en un archivo de correo electrónico y afecta a Outlook, que casi todas las organizaciones utilizan. Un hash robado puede abrir puertas mucho más allá de la bandeja de entrada".

Dicho esto, Redmond no ha atribuido la actividad a un actor de amenazas particular ni ha proporcionado detalles técnicos sobre cómo se está explotando la vulnerabilidad en el mundo real. El aviso tampoco especifica si el descubrimiento se produjo antes o después de que los atacantes comenzaran a explotar el fallo.

Este acontecimiento ha llevado a la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) a añadir el fallo a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), exigiendo que las agencias federales apliquen la corrección antes del 24 de noviembre de 2026.

Otras vulnerabilidades destacadas

Algunas otras vulnerabilidades dignas de mención incluyen varios fallos de ejecución remota de código que afectan a Windows Search (CVE-2026-116928), Lightweight Directory Access Protocol (CVE-2026-119958), Windows Schannel (CVE-2026-119952), Windows Virtual Filtering Platform (CVE-2026-95962) y el servicio de red de Windows Xbox Live (CVE-2026-112967), así como un fallo de escalada de privilegios en Azure OpenAI (CVE-2026-119990).

"La mayoría de los equipos de seguridad no se han recuperado del último mes de vulnerabilidades críticas constantes, parches de emergencia y todo marcado como '2shell', y estamos una vez más en otro Martes de Parches", dijo Jake Knott, jefe de inteligencia de amenazas en watchTowr.

"Los equipos están empezando a sentir la presión de intentar descifrar '¿qué es lo que realmente importa?' cuando hay incendio tras incendio cada día exigiendo atención inmediata. Empieza por lo que tienes expuesto a Internet, luego por lo que ya está siendo explotado en el mundo real, y solo entonces todo lo demás. Antes de entrar en modo pánico, comprueba si siquiera usas el componente vulnerable o si cumples los requisitos previos para la explotación".

Fuente:
THN