Microsoft, 1.000 CVE y un fallo de Outlook ya explotado

Microsoft cerró el Patch Tuesday de noviembre con correcciones para 1.259 vulnerabilidades de su catálogo: 1.094 CVE emitidos por Microsoft y 165 identificadores de terceros. Es el segundo mes consecutivo en que la cifra supera los mil, según The Hacker News. Sesenta y tres están calificadas como críticas. En octubre fueron 1.474. Si usas Windows, Office o Exchange, es decir, si gestionas una empresa, este montón te toca clasificarlo.

El fallo más importante no es el más escandaloso sobre el papel. CVE-2026-124194, un bug de suplantación en Outlook con una puntuación CVSS de 6,5 (calificado como Moderada), ya se explotaba activamente cuando se publicó el parche. CISA lo ha añadido al catálogo Known Exploited Vulnerabilities con fecha límite de remediación el 24 de noviembre para las agencias federales. Los productos afectados incluyen Microsoft 365 Apps for Enterprise y Office LTSC 2021 y 2024, es decir, prácticamente cualquier instalación de Outlook en entornos empresariales, según CSO Online. Basta con abrir un archivo de mensaje para que el hash NTLMv2 del usuario salga hacia el servidor del atacante. Si tu cola de triaje sigue ordenada por puntuación CVSS, este mes es el contraejemplo que debería acabar con esa costumbre.

Un archivo abierto, un hash robado: cómo funciona el fallo de Outlook

El aviso de Microsoft revela el mecanismo en una frase burocrática: «La interfaz del producto no advierte a los usuarios de acciones no seguras en Microsoft Office Outlook». Normalmente, Outlook muestra una advertencia de contenido externo antes de que un mensaje haga que el cliente se conecte a un recurso remoto. Este fallo suprime esa advertencia. La cadena resultante, tal como la describen Microsoft y The Register, es corta y brutal:

1. El atacante envía un archivo de mensaje especialmente diseñado y convence a la víctima para que lo abra en una versión afectada de Outlook. Se requiere interacción del usuario, como confirma Microsoft, pero un solo clic es todo lo necesario.
2. Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo.
3. Windows se autentica en esa ubicación con NTLM, revelando el hash NTLMv2 del usuario.
4. El atacante retransmite ese hash a otros sistemas para iniciar sesión como la víctima, o lo craquea sin conexión para recuperar directamente la contraseña.

Microsoft no especifica el protocolo de esa «ubicación de red», pero el hash NTLMv2 es la pista: es la credencial que Windows entrega al autenticarse en un recurso compartido SMB o en un endpoint HTTP que usa NTLM. Es la clásica primitiva de autenticación forzada, de la misma familia que todos los trucos con rutas UNC y plantillas remotas que los equipos rojos llevan años usando, pero con un disfraz nuevo de Outlook. Así es más o menos el botín cuando llega al equipo de craqueo del atacante, en formato Net-NTLMv2 de hashcat:

alice::CORP:5f3c1a9b7d2e4860:4f2b9d8c7a6e5f1a0b3c2d4e5f6a7b8c:0101000000000000...

La retransmisión es el final más peligroso de los dos porque evita el craqueo por completo: allí donde no se exige firma SMB o LDAP, ese hash capturado puede autenticarse como la víctima casi en tiempo real. El craqueo sin conexión, por su parte, convierte contraseñas débiles en credenciales de dominio con un presupuesto de GPU. Dustin Childs, responsable de concienciación sobre amenazas en la Zero Day Initiative de TrendAI, lo resumió así en su revisión mensual: «Se etiqueta como suplantación, pero el impacto es mayor de lo que sugiere el nombre».

Lo confirmado: el fallo se explota, requiere conectividad de red más un clic del usuario, y el parche ya existe. Lo desconocido: Microsoft no ha atribuido los ataques a ningún actor, no ha dicho cuándo empezó la explotación, no ha descrito qué hacen los atacantes con el acceso ni ha aclarado si el fallo se descubrió antes o después de que se abusara de él. El descubrimiento se atribuye a un investigador llamado Nono y a Benoît Sevens, de Anthropic, que trabajó con el asistente de IA Claude; más sobre esto abajo.

«El nivel Moderada se queda corto con este. Los atacantes ya lo están explotando, solo necesita un clic sobre un archivo de correo, y afecta a Outlook, que casi todas las organizaciones usan. Un hash robado puede abrir puertas mucho más allá de la bandeja de entrada». — Jack Bicer, director de investigación de vulnerabilidades en Action1

Nick Carroll, responsable de respuesta a incidentes cibernéticos de Nightwing, le dio a CSO Online la versión más corta: «No te dejes engañar por la puntuación baja». Hasta que llegue el parche, una pasarela de correo eficaz y la formación de concienciación de los usuarios pueden frenar la entrega, ya que el ataque necesita que una persona abra un archivo malicioso de Office. Es un obstáculo, no un muro.

Los 9,8 sin clic dirigidos a Exchange y a tus controladores de dominio

Cuatro fallos del lote tienen un CVSS de 9,8, y tres de ellos no requieren credenciales ni acción del usuario, señaló Bicer. Los dos que deberían quitarte el sueño esta noche:

• CVE-2026-119958 — RCE en LDAP de Windows. Un atacante sin autenticar ejecuta código dentro del servicio LDAP. Eso incluye a los controladores de dominio, lo que significa que todo el entorno de Active Directory está en el radio de impacto.
• CVE-2026-116928 — Escritura fuera de límites en Windows Search. Es alcanzable a través de Exchange: envía un correo con un adjunto manipulado y el sistema de indexación de Exchange lo procesa automáticamente. «El destinatario no necesita abrir el correo ni el adjunto», advirtió Microsoft. Cero clics, ejecución remota de código completa.
• CVE-2026-118207 — RCE en Exchange Server. Puede activarlo cualquiera que pueda enviar correo a la organización.
• CVE-2026-112967 — RCE en el servicio de red de Xbox Live. Atacantes en la misma red obtienen control total de un sistema Windows. El nombre suena a juguete de videojuegos; el servicio no lo es.
• CVE-2026-119990 — Elevación de privilegios en Azure OpenAI. Un 9,8 en un servicio en la nube del que dependen hoy muchos equipos, pero Microsoft aplica este parche automáticamente, así que no es cosa tuya.

También en el grupo crítico: fallos de ejecución remota de código en Schannel de Windows (CVE-2026-119952) y en Windows Virtual Filtering Platform (CVE-2026-95962). El consejo de Bicer sobre el orden es el enfoque más útil del mes: el orden de parcheo debe seguir el alcance, no los nombres de producto. Primero los controladores de dominio y Exchange, luego todo lo que exponga IIS, Schannel o RPC a redes no confiables. Message Queuing merece un inventario antes de recibir parche: localiza cada servidor donde el servicio está habilitado, desactívalo donde ninguna aplicación lo necesite y parchea el resto el mismo día. Los hosts de hipervisor merecen su propia ventana de mantenimiento, porque un escape allí significa perder todo lo que hay en la máquina.

Una entrada no perteneciente a Microsoft merece mención: SAP corrigió una vulnerabilidad de corrupción de memoria con CVSS 10 apodada ICM2Shell, descubierta por Onapsis, en la forma en que el kernel de SAP gestiona el tráfico WebSocket. Una secuencia manipulada de mensajes WebSocket puede bloquear el proceso o derivar en ejecución remota de código, y afecta tanto a SAP Internet Communication Manager como a SAP Web Dispatcher, un proxy inverso que muchas organizaciones colocan en el perímetro de red. Si SAP está en tu perímetro, este también va al principio de la cola.

Un mes de 1.000 CVE es la nueva normalidad, y la IA está en ambos lados

La composición del lanzamiento cuenta la historia de esta era: 726 fallos en Windows, 174 en Office, 59 en SQL Server, 27 en SharePoint, además de herramientas de desarrollo, con más de 500 errores de elevación de privilegios por delante de la ejecución remota de código y la divulgación de información. Microsoft ha corregido ya más de 5.100 CVE solo este año, según Satnam Narang, ingeniero senior de investigación de Tenable. «Que haya dos meses seguidos por encima de 1.000 CVE demuestra que la caza automatizada de fallos ha reconfigurado de forma permanente el volumen de parches», dijo Childs a The Register. «Con la IA haciendo casi instantáneos el análisis diferencial de parches y la generación de exploits, la ventana de amenaza se abre en el momento en que se publican las actualizaciones».

El cansancio es real. «Quizá deberíamos irnos a casa», escribió Jake Knott, responsable de inteligencia de amenazas de watchTowr, en un correo a The Register, tras un mes de críticas en cadena y de todo con la etiqueta «"2shell"», una alusión a emergencias como Able2Shell de N-able y los RCE previos a la autenticación de PHP2Shell. Su consejo de triaje es el que vale la pena guardar: «Empieza por lo que tienes expuesto a Internet, luego por lo que ya se explota en la naturaleza, y solo después por todo lo demás».

Hay un giro irónico en el descubrimiento del fallo de Outlook. Según CSO Online, Microsoft lleva desde el verano usando un modelo de IA para encontrar miles de vulnerabilidades en sus propios productos, y el único fallo explotado del mes lo encontró Sevens, de Anthropic, trabajando con Claude. La visión de Narang: «Durante gran parte del año, la IA ha ido construyendo pajares cada vez más grandes en cada Patch Tuesday, y esta parece ser la primera vez que encuentra una aguja». Ninguno de los 1.094 CVE de Microsoft era público antes del martes, y solo el fallo de Outlook está confirmado como explotado, pero Childs advierte contra la «falsa tranquilidad», porque, con los parches públicos, hacer ingeniería inversa de las correcciones para obtener exploits funcionales es ahora un ejercicio casi instantáneo y asistido por IA.

Clasifica por alcance, no por puntuación

El CVSS se diseñó para medir la gravedad técnica, es decir, cuán malo es un fallo en teoría, no si alguien lo está usando contra ti ahora mismo. Un 6,5 Moderada que filtra credenciales en la naturaleza supera a cualquier 9,8 teórico en un equipo solo interno, y un equipo de cinco personas no puede parchear 1.094 cosas al mes por muy bien ordenada que esté la cola. Piensa en el CVSS como el nivel de un monstruo en un RPG: te dice cuánto golpea, no si ya está en tu puerta. El orden de operaciones más sensato esta semana:

1. Parchea Outlook ya: Microsoft 365 Apps for Enterprise, Office LTSC 2021 y 2024. CVE-2026-124194 se explota y está en el KEV; trata la fecha federal del 24 de noviembre de CISA como si fuera tuya.
2. Controladores de dominio y Exchange después: CVE-2026-119958 (LDAP) y CVE-2026-116928 (Windows Search mediante la indexación de Exchange) son rutas sin autenticación y sin clic hacia tus activos más valiosos.
3. Luego todo lo que exponga IIS, Schannel o RPC a redes no confiables: ahí entra CVE-2026-119952.
4. Inventaria Message Queuing, desactívalo donde nadie lo use y parchea el resto el mismo día.
5. Dale a los hosts de hipervisor su propia ventana: un escape ahí y todas las máquinas invitadas caen con él.

En el lado de la detección y el endurecimiento, este mes tiene una lista de tareas concreta más allá del parcheo:

• Bloquea el TCP 445 saliente (y WebDAV) en el perímetro: ninguna estación de trabajo tiene motivo legítimo para negociar NTLM con una IP de Internet. Alerta ante cualquier intento; esa alerta será tu trampa para el próximo fallo de autenticación forzada.
• Exige firma SMB y firma LDAP, y prefiere Kerberos cuando sea posible, para que un hash retransmitido no le sirva de nada al atacante.
• Busca en la telemetría de la pasarela de correo y de los endpoints archivos de mensaje sospechosos abiertos durante el último mes, sobre todo cualquiera que haya iniciado una conexión saliente desde un proceso de Office.
• Si tienes SAP en el perímetro, parchea ICM2Shell en ICM y Web Dispatcher: un CVSS 10 con un proxy inverso en el alcance no espera al siguiente ciclo.

Dos meses por encima de mil CVE ya no son una anomalía, sino la línea base, y la IA la infla mientras ayuda a los atacantes a comparar parches más rápido de lo que la mayoría de los comités de cambios puede reunirse. Los equipos que salgan ganando no serán los que tengan las plantillas de parcheo más grandes, sino los que dejaron de leer las puntuaciones CVSS como posos de café y empezaron a parchear por exposición y explotación. Empieza por Outlook. El hash que salvas es el tuyo.