Más de mil parches de Microsoft y uno es urgente

Microsoft publicó el martes 10 de noviembre su ronda mensual de actualizaciones de seguridad, el llamado Patch Tuesday, y vuelve a superar el millar de vulnerabilidades corregidas. Entre ellas hay una en Outlook que ya se está aprovechando en ataques, así que conviene no dejar la actualización para otro día.

El fallo de Outlook que ya se explota

La vulnerabilidad es la CVE-2026-124194, que Microsoft clasifica como de suplantación. Según el aviso de la compañía, recogido por BleepingComputer y SecurityWeek, un atacante sin autenticar puede enviar un archivo de mensaje manipulado y convencer a la víctima de que lo abra. Al hacerlo, Outlook puede conectarse a una ubicación de red controlada por el atacante «sin mostrar la advertencia habitual de contenido externo», lo que podría revelar información de autenticación con la que hacerse pasar por el usuario.

En concreto, lo que se filtra es el hash NTLMv2 de la cuenta. BleepingComputer explica que ese hash puede capturarse y, potencialmente, descifrarse sin conexión para entrar en cuentas corporativas. No es una técnica nueva: fallos parecidos se han explotado antes, normalmente con adjuntos maliciosos en campañas de phishing.

Algunos detalles para medir el riesgo:

• Requiere que la víctima abra el archivo; según SecurityWeek, no se activa desde el panel de vista previa.
• Microsoft le asigna gravedad «moderada» y una puntuación CVSS de 6,5.
• Afecta a Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024.
• El aviso de Microsoft no da información sobre los ataques observados.

El descubrimiento se atribuye a un investigador que firma como «nono» y a Benoît Sevens; en el caso de Sevens, el reconocimiento menciona el uso del modelo Claude, de Anthropic, según SecurityWeek.

Qué más hay que actualizar

Las cifras varían según cómo se cuente. SecurityWeek habla de 1.094 vulnerabilidades y Krebs on Security, de 1.093, mientras que BleepingComputer llega a 1.235 porque incluye, entre otros, 142 fallos de Edge heredados de Chromium. Las fuentes cuentan entre 63 y 66 críticos, buena parte de ellos de ejecución remota de código, y más de 500 de elevación de privilegios.

Según SecurityWeek, Microsoft marca como críticas actualizaciones para Windows 10, Windows 11, Windows Server de 2016 a 2025, Office, Exchange Server Subscription Edition, Edge y el motor de protección contra malware. También hay parches para SQL Server, SharePoint Server y Azure.

Ojo a un detalle: esta es la última actualización mensual para las ediciones Enterprise y Education de Windows 11 23H2. A partir de ahora esos equipos dejan de recibir parches de seguridad.

Una cifra que ya no es excepcional

Noviembre no bate récord: octubre se fue a más de 1.400 fallos. Pero el salto es enorme. Krebs on Security recuerda que hace un año Microsoft rondaba los 100 parches al mes y que en lo que va de año ya suma más de 5.100. La compañía atribuye ese volumen a los avances de la inteligencia artificial para encontrar y corregir errores.

La lectura tiene dos caras. Que se encuentren más fallos es buena noticia; que hubiera tantos esperando en un software del que dependen empresas, administraciones y particulares de medio mundo dice bastante de la deuda acumulada. Y quien administra equipos tiene que digerir mil parches al mes.

Chris Goettl, de Ivanti, pone algo de perspectiva en declaraciones a Krebs: de unas 95.000 vulnerabilidades con CVE registradas este año entre todos los fabricantes, solo 217 figuran en el catálogo de fallos explotados de la agencia estadounidense CISA. Su consejo es actualizar de forma continua y concentrar la atención en lo que de verdad se está atacando, sobre todo en los sistemas expuestos a internet.

Lo de siempre, y no está de más repetirlo: copia de seguridad antes de actualizar, y después, actualizar.

Fuentes: BleepingComputer, Krebs on Security, SecurityWeek