Patch Tuesday de noviembre de 2026: 1.094 CVE, 1 día cero explotado

La publicación del Patch Tuesday de Microsoft de noviembre de 2026 aborda 1.094 CVE de Microsoft. Es una cifra inferior al récord de octubre de 1.413, pero sigue siendo la segunda publicación de Patch Tuesday más grande hasta la fecha, por delante de las 974 de septiembre. La publicación abarca Windows, Microsoft 365 y aplicaciones de Office, SQL Server, SharePoint Server, Exchange Server, Azure, Defender y herramientas de desarrollo. Microsoft también vuelve a publicar 165 CVE que no son de Microsoft.

Una vulnerabilidad ya está siendo explotada activamente: CVE-2026-124194, un fallo de suplantación en Microsoft Outlook. Microsoft la califica como Moderada, y ningún CVE de esta versión fue revelado públicamente antes del parche. Por tercer mes consecutivo, la vulnerabilidad que los atacantes están usando realmente está clasificada por debajo de Crítica, por lo que el estado de explotación debería marcar el orden de prioridad del trabajo.

Con más de 1.000 CVE de Microsoft que evaluar, los equipos de TI necesitan una implementación basada en el riesgo que empiece por las vulnerabilidades que están usando los atacantes y los sistemas donde un ataque exitoso causaría más daño. Esta publicación explica dónde se concentran las vulnerabilidades, cómo funciona el zero-day de Outlook y dónde se distribuye su corrección, qué vulnerabilidades críticas abordar a continuación y cómo secuenciar la implementación.

Desglose de parches de Microsoft de noviembre de 2026

De los 1.093 CVE con clasificaciones de gravedad, Microsoft calificó 63 como críticas, 1.029 como importantes y 1 como moderada.

La elevación de privilegios y la ejecución remota de código representan aproximadamente el 76 % de la publicación:

Las vulnerabilidades de ejecución remota de código pueden dar a un atacante acceso inicial, y las vulnerabilidades de elevación de privilegios pueden convertir ese acceso limitado en control total de un sistema. Con más de 800 de estos dos tipos en una sola versión, los equipos de TI necesitan saber qué sistemas afectados están expuestos y cuáles tienen acceso privilegiado.

Dónde se concentran las vulnerabilidades

Windows representa aproximadamente dos tercios de los CVE de este mes. Office y SharePoint Server añaden otros 201, lo que mantiene alto en la lista el riesgo relacionado con documentos.

Las cifras publicadas por Microsoft para esta versión difieren ligeramente: las notas de la versión y el desglose por familia de productos indican 1,094 CVE, mientras que las clasificaciones de gravedad cubren 1,093. Esta publicación usa 1,094, la cifra que aparece en las notas de la versión de Microsoft.

Un zero-day explotado en Outlook

Microsoft ha señalado una CVE como explotada este mes. Es la única vulnerabilidad con calificación Moderada de toda la publicación.

Un atacante no autenticado envía un archivo de mensaje especialmente diseñado y consigue que el destinatario lo abra en Outlook. Al abrir el archivo, Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual sobre contenido externo. Esa conexión puede exponer el hash NTLMv2 del usuario, que un atacante puede usar para hacerse pasar por el usuario en ataques posteriores.

El usuario tiene que abrir el archivo, y el panel de vista previa no es un vector de ataque. Microsoft no ha compartido quién está detrás de los ataques ni lo extendidos que están. Moderada está un nivel por encima de la calificación más baja de Microsoft, pero este es el único CVE de la publicación que se ha confirmado que los atacantes están utilizando, así que aplícale primero el parche en todos los dispositivos que ejecutan Outlook.

La corrección se incluye en las actualizaciones de seguridad de Microsoft 365 Apps y Office LTSC 2021 y 2024. No forma parte de la actualización acumulativa de Windows (KB5132061), por lo que las organizaciones que implementan solo actualizaciones de Windows siguen expuestas hasta que se instale la actualización de Office.

CISA añadió CVE-2026-124194 a su catálogo de Vulnerabilidades Explotadas Conocidas el 10 de noviembre de 2026, con fecha límite de corrección el 24 de noviembre de 2026 para las agencias federales.

Vulnerabilidades críticas que debes priorizar a continuación

Microsoft calificó 63 vulnerabilidades como críticas este mes: 48 de ejecución remota de código y 15 de elevación de privilegios. En lugar de tratarlas como un solo grupo, priorízalas según la infraestructura afectada, lo expuesta que esté y lo que pondría en riesgo una vulneración.

Servicios de identidad, directorio y autenticación

Los controladores de dominio y los protocolos que protegen la autenticación dan a un atacante alcance sobre todo el entorno. La vulnerabilidad de Active Directory Domain Services (CVSS 8.8) requiere un atacante autenticado, mientras que la vulnerabilidad de Schannel (CVSS 8.1) puede ser explotada por un atacante no autenticado a través de la red. Microsoft evaluó ambas como de mayor probabilidad de explotación.

Servidores de Exchange, IIS y de implementación

Exchange Server (CVE-2026-118207), Internet Information Services (CVE-2026-119961) y Windows Deployment Services (CVE-2026-119951) tienen cada uno una vulnerabilidad crítica de ejecución remota de código. La vulnerabilidad de Exchange tiene una puntuación CVSS de 8.8 y se evalúa como de explotación más probable.

Estos servidores suelen estar expuestos a internet o conectados con cada endpoint que depende de ellos para el correo, los servicios web o el aprovisionamiento. SharePoint Server también merece atención: CVE-2026-120002 está clasificada como Importante, pero alcanza una puntuación CVSS de 9,9, otro caso en el que la etiqueta de gravedad no refleja del todo el riesgo.

Servicios de Windows expuestos a la red

Todas ellas son vulnerabilidades de ejecución remota de código en servicios que escuchan en la red. Identifica dónde están habilitados Message Queuing y los otros servicios afectados, y pon los sistemas accesibles desde el exterior al principio de la cola. El fallo de NAT (CVSS 8.1) está evaluado como Explotación más probable.

Escalada de privilegios en Hyper-V y Windows

Windows Hyper-V tiene ocho vulnerabilidades críticas de elevación de privilegios este mes:

• CVE-2026-113753

• CVE-2026-113856

• CVE-2026-113860

• CVE-2026-113861

• CVE-2026-113864

• CVE-2026-113865

• CVE-2026-119947

• CVE-2026-119960

Graphics Kernel (CVE-2026-119966 y CVE-2026-125137) y Remote Desktop Services (CVE-2026-119957) también tienen vulnerabilidades críticas de elevación de privilegios. Combinadas con una vulnerabilidad de acceso inicial, pueden darle a un atacante control a nivel SYSTEM.

Los hosts de Hyper-V suelen ejecutar muchas cargas de trabajo de producción, así que un fallo a nivel de host pone en riesgo a todos los invitados que aloja. Usa pruebas escalonadas y ventanas de mantenimiento coordinadas cuando un despliegue inmediato pueda interrumpir los servicios, pero mantén esas ventanas cortas.

Microsoft 365 y aplicaciones de Office

Las aplicaciones de Office representan 22 de las vulnerabilidades críticas de ejecución remota de código de este mes:

Excel vuelve a concentrar la mayor cantidad de fallos críticos en una sola aplicación. Los documentos maliciosos siguen siendo una de las vías más habituales de entrada a los entornos de los usuarios. Los tres fallos críticos de Outlook (CVE-2026-110043, CVE-2026-110068 y CVE-2026-111309) no están marcados como explotados. Se distribuyen a través del mismo canal de actualización de Office que la corrección de día cero, por lo que un solo despliegue de Office puede abordar ambos.

Componentes de archivos, medios y búsqueda

Las vulnerabilidades críticas de ejecución remota de código también afectan a Graphic Fonts (CVE-2026-119969), Windows Codecs Library (CVE-2026-113749), Raw Image Extension (CVE-2026-114169), Windows Search (CVE-2026-116928) y Print Spooler Components (CVE-2026-113752).

Las vulnerabilidades de fuente, códec, imagen y búsqueda pueden activarse mediante contenido manipulado, lo que las pone al alcance en endpoints cotidianos. Print Spooler se ejecuta en la mayoría de los dispositivos Windows y es fácil pasarlo por alto en los ciclos de parcheo, así que confirma que esté incluido en el mismo despliegue que el resto de la versión.

Azure y servicios de seguridad

Azure OpenAI (CVE-2026-119990) y Azure Managed Grafana (CVE-2026-114160) tienen cada uno una vulnerabilidad crítica de elevación de privilegios, y Microsoft Defender tiene una vulnerabilidad crítica de ejecución remota de código (CVE-2026-122194). Los servicios en la nube y las herramientas de seguridad necesitan la misma verificación que los sistemas locales, y un fallo en un producto de seguridad es un objetivo de alto valor por derecho propio.

Cómo priorizar los parches de noviembre de 2026

No existe un plazo fijo que se ajuste a todos los entornos. Usa estos niveles como punto de partida y luego ajústalos según la exposición, el impacto en el negocio y los requisitos de prueba.

Aplica el parche en un plazo de 72 horas

• CVE-2026-124194, a través de las actualizaciones de Microsoft 365 Apps y Office LTSC, en todos los dispositivos que ejecutan Outlook

• Active Directory Domain Services, LDAP, Schannel y CredSSP en controladores de dominio y servidores de autenticación

• Exchange Server e IIS, empezando por los sistemas expuestos a internet

• Message Queuing, SMB Server, TCP/IP y NAT en sistemas donde esos servicios son accesibles

• Hosts de Hyper-V

• Google Chrome CVE-2026-125350, tratado en la sección de terceros a continuación

• Cualquier CVE añadido posteriormente al catálogo KEV de CISA o marcado como Exploitation More Likely

Aplica el parche en un plazo de 1 a 2 semanas

• Las vulnerabilidades críticas restantes de Office, empezando por Excel, luego Word, Outlook y PowerPoint. Microsoft enumera las actualizaciones de Office como acumulativas, excepto en Office 2016, por lo que la implementación del zero-day ya incluye la mayoría de estas correcciones en Microsoft 365 Apps y Office LTSC. Confirma Office 2016 por separado.

• Fuentes gráficas, biblioteca de códecs, extensión de imagen RAW, Búsqueda de Windows y componentes del Cola de impresión

• Vulnerabilidades de elevación de privilegios de Graphics Kernel, Servicios de Escritorio remoto y TPM

• SharePoint Server, incluido CVE-2026-120002

• Azure OpenAI, Azure Managed Grafana y Microsoft Defender

• Visual Studio, Visual Studio Code y .NET en estaciones de trabajo de desarrolladores

• Servidores de Adobe Connect y Adobe Experience Manager

La exposición debería seguir prevaleciendo sobre el plazo predeterminado. Es posible que los usuarios que abren archivos externos habitualmente necesiten actualizaciones de Office antes.

Ciclo regular de parches

• Vulnerabilidades de elevación de privilegios y divulgación de información con calificación Importante en componentes con exposición limitada

• Problemas de acceso solo local y de controladores de dispositivo en sistemas con acceso físico restringido

• Sistemas no expuestos a internet con controles compensatorios implementados

Actualizaciones destacadas de terceros

Varios otros proveedores publicaron correcciones de seguridad durante esa misma semana, incluida otra vulnerabilidad de día cero que ya estaba siendo explotada.

Zero-day de Google Chrome

Google corrigió CVE-2026-125350, una vulnerabilidad de alta gravedad de uso después de liberación en el componente XML de Chrome que está siendo explotada activamente. La corrección está en Chrome 157.0.8103.50/.51 para Windows y Mac y en Extended Stable 156.0.8078.96, y la misma actualización corrige otras ocho vulnerabilidades. CISA añadió CVE-2026-125350 al catálogo KEV el 10 de noviembre, el mismo día que el fallo de Outlook.

Chrome descarga las actualizaciones en segundo plano, pero solo las aplica después de reiniciarse, así que confirma las versiones instaladas en lugar del estado de descarga. Otros navegadores basados en Chromium comparten el mismo código del motor, así que estate pendiente también de las actualizaciones de esos proveedores.

Adobe

Adobe publicó correcciones para unas 110 vulnerabilidades en nueve productos: Adobe Experience Manager, Adobe Connect, Photoshop, Premiere, After Effects, Audition, Media Encoder, Dimension y el SDK de Content Credentials. Se corrigieron vulnerabilidades críticas en Adobe Connect y Adobe Experience Manager, incluidas seis vulnerabilidades de Adobe Connect con una puntuación CVSS de 10. Adobe afirma que no tiene constancia de ninguna explotación.

Adobe ColdFusion 2021 también llega al fin del soporte extendido el 10 de noviembre de 2026, según el cronograma de soporte de Adobe. Su última actualización se lanzó en diciembre de 2025, así que cualquier servidor de ColdFusion 2021 que siga en funcionamiento necesita un plan de actualización.

CVE no pertenecientes a Microsoft republicados

Microsoft está volviendo a publicar 165 CVEs no pertenecientes a Microsoft este mes, frente a una en octubre. Junto con las publicaciones de Chrome y Adobe, eso recuerda la importancia de mantener los navegadores, las herramientas creativas y las aplicaciones de servidor dentro del mismo flujo de trabajo de gestión de vulnerabilidades que Windows y Office. Los procesos separados pueden dejar lagunas incluso cuando la aplicación de parches del SO está al día.

Por qué el Patch Tuesday de noviembre es importante para los equipos de TI

La versión de noviembre plantea tres problemas operativos que van más allá de cualquier CVE individual.

1. Las correcciones llegan por más de un canal de actualización

La única vulnerabilidad de Microsoft explotada este mes se corrige en la actualización de Office, el zero-day de Chrome requiere reiniciar el navegador y Adobe publica según su propio calendario. Un proceso basado únicamente en Windows Update puede indicar que un dispositivo está actualizado aunque siga expuesto.

Los equipos necesitan el estado de los parches de cada aplicación, así como de cada compilación del sistema operativo, junto con una visión clara de qué dispositivos todavía no tienen las actualizaciones más importantes de este mes.

2. Windows 11 23H2 Enterprise y Education llegan al fin de las actualizaciones

Microsoft afirma que la actualización de noviembre (KB5131087) es la última actualización de seguridad para Windows 11 versión 23H2 Enterprise y Education. Windows 11 versión 24H2 Home y Pro ya alcanzó el fin de las actualizaciones en octubre, y los dispositivos comerciales con Windows 10 22H2 necesitan una licencia Extended Security Updates Year 2 para recibir las correcciones de este mes.

Los dispositivos con estas ediciones dejan de recibir correcciones después de su fecha de finalización, por muy rápido que un equipo aplique los parches. Identifícalos ahora y planifica las actualizaciones. Microsoft también ha dicho que no habrá actualización preliminar no relacionada con la seguridad en diciembre de 2026, aunque se sigue esperando la actualización de seguridad de diciembre el Patch Tuesday.

3. Los cambios de refuerzo de la seguridad pueden requerir pruebas

Con esta actualización, los clientes de Windows 11 ofrecen la firma de mensajes NTLM de forma predeterminada para las conexiones no anónimas, lo que ayuda a reducir los ataques de retransmisión NTLM. Es un cambio oportuno en un mes en el que el zero-day explotado apunta a hashes NTLMv2.

PowerShell ahora aplica comprobaciones de codificación más estrictas a los scripts firmados, así que los scripts con codificación UTF-8 no válida pueden no superar la validación de firma aunque antes funcionaran. La orientación de Microsoft es guardar esos scripts como UTF-8 con una marca de orden de bytes y volver a firmarlos. Prueba los scripts de automatización firmados en un grupo pequeño de dispositivos antes de una implementación amplia.

Cómo Splashtop AEM puede ayudarte a priorizar e implementar parches

Una versión con 1.094 CVE y un zero-day explotado les plantea dos tareas a los equipos de TI: encontrar qué es importante en su entorno e implementar rápidamente las actualizaciones adecuadas. Splashtop AEM (gestión autónoma de endpoints) se encarga de ambas desde una consola centralizada.

• Encuentra dispositivos expuestos: Splashtop AEM analiza continuamente los endpoints Windows y macOS en busca de CVE, incluidas las vulnerabilidades del catálogo Known Exploited Vulnerabilities de CISA, junto con el estado de los parches y el inventario de hardware y software. Los equipos pueden ver qué endpoints siguen expuestos a medida que se implementan las actualizaciones.

• Prioriza lo que están usando los atacantes: los resúmenes de CVE con IA y las señales de riesgo, incluidas las puntuaciones EPSS y el estado KEV, ayudan a los equipos a priorizar las vulnerabilidades explotadas por delante del resto de una publicación de más de 1.000 CVE.

• Implementa y verifica más rápido: El parcheo en tiempo real del SO y de aplicaciones de terceros, las políticas automatizadas, las ventanas de mantenimiento, los controles de reinicio y los anillos de actualización permiten a los equipos probar primero las actualizaciones de servidores o de Hyper-V en un grupo más pequeño de dispositivos. Luego, los equipos pueden ampliar la implementación y hacer seguimiento de qué instalaciones se completaron correctamente, fallaron o se retrasaron.

• Refuerza los flujos de trabajo existentes: Splashtop AEM puede mejorar Microsoft Intune al añadir aplicación de parches en tiempo real, visibilidad de CVE y corrección. Los equipos que usan un RMM pueden utilizarlo para cubrir carencias en la visibilidad de parches y la automatización.

Encuentra y corrige endpoints expuestos más rápido con Splashtop AEM

La versión de noviembre es más pequeña que la de octubre, pero sigue siendo el segundo Patch Tuesday más grande hasta la fecha, y su única vulnerabilidad de Microsoft explotada se corrige fuera de la actualización de Windows. Los equipos de TI necesitan ver qué endpoints están expuestos en todos los canales de actualización, implementar primero las correcciones más urgentes y confirmar cada instalación.

Comienza una prueba gratuita de Splashtop AEM para ver qué endpoints son vulnerables, priorizar las actualizaciones de alto riesgo e implementar parches más rápido.