Datos clave: 1,080 correcciones en total
- Críticas: 59
- Importantes: 1,019
- Moderadas: 1
- Con exploit funcional (weaponized): 0
- Divulgadas públicamente: 0
- Explotación detectada confirmada: 1
Esta es la versión de Patch Tuesday más grande del año por volumen, y abarca Windows, Microsoft Office, Exchange Server, SharePoint, SQL Server, los servicios de Azure, Visual Studio y los componentes centrales del sistema operativo. Cincuenta y nueve vulnerabilidades Críticas son una cifra enorme, y tres de ellas comparten la puntuación de riesgo más alta de la versión, con una cuarta apenas un punto por debajo.Pero la única vulnerabilidad que Microsoft señala con explotación detectada y confirmada no es Crítica en absoluto. Tiene una gravedad Moderada. Su puntuación CVSS es de 6.5, una de las más bajas de la versión de este mes. Nada en esta versión está marcado como weaponized ni como divulgado públicamente, lo que hace que el único caso de explotación confirmada destaque aún más.Esa es la lección de este mes, y es la misma que la del mes pasado, solo con los números cambiados de lugar: la gravedad y el estado de explotación son dos preguntas distintas, y la segunda importa más cuando un atacante ya está en escena.
CVE-2026-124194: el error Moderado que ya se está explotando
Se trata de una vulnerabilidad de suplantación de identidad (spoofing) en Microsoft Outlook. La propia descripción de Microsoft es inusualmente clara sobre el mecanismo: la interfaz de usuario del producto no advierte al usuario de una acción insegura, lo que permite que un atacante no autorizado realice suplantación a través de una red.Tiene una puntuación CVSS de 6.5 y una clasificación de gravedad Moderada, la única vulnerabilidad Moderada de toda la versión de este mes. Su puntuación de riesgo, 24, se ubica cerca del final de la versión y no en la parte superior.Lo que la convierte en la que hay que priorizar no es su puntuación, sino la propia Evaluación de explotabilidad (Exploitability Assessment) de Microsoft, que la marca como la única CVE de este mes con explotación detectada y confirmada. Todas las demás vulnerabilidades de la versión, incluidas las 59 entradas Críticas, tienen una etiqueta de explotabilidad de menor urgencia o ninguna. Si prioriza únicamente por la puntuación CVSS, esta no estará ni cerca de los primeros lugares de su lista. Si prioriza según lo que Microsoft dice que está ocurriendo realmente, debería ser la primera.
Un empate a cuatro en lo más alto de la escala de gravedad
Cuatro vulnerabilidades comparten la puntuación de riesgo más alta de la versión de este mes. Tres de ellas empatan con una puntuación de riesgo de 89: CVE-2026-112967 (Windows Xbox Live Networking Service, ejecución remota de código), CVE-2026-116928 (Microsoft Exchange Server, ejecución remota de código) y CVE-2026-119958 (Windows LDAP, ejecución remota de código). Las tres son Críticas, las tres obtienen 9.8 en CVSS y las tres están clasificadas por Microsoft como «Explotación menos probable» (Exploitation Less Likely), lo que significa que aún no hay explotación confirmada de ninguna de ellas.La cuarta, CVE-2026-119990 (Azure OpenAI, elevación de privilegios), también obtiene 9.8 y es Crítica, con una puntuación de riesgo de 87. Es una de las trece vulnerabilidades de este mes que no tienen ninguna Evaluación de explotabilidad. Inferencia: es plausible que se deba a que Microsoft administra Azure OpenAI como un servicio alojado y lo parchea de forma centralizada, en lugar de dejar la corrección en manos de los clientes, de manera similar a lo que ocurrió con algunas vulnerabilidades de Azure/Entra el mes pasado. Verificar: la hoja de cálculo no lo indica directamente y, antes de decir a los clientes que no se requiere ninguna acción, esto debe confirmarse con el aviso de Microsoft correspondiente a esta CVE.Exchange Server y Active Directory Domain Services también aparecen entre las entradas de ejecución remota de código de mayor riesgo de este mes (CVE-2026-118207 y CVE-2026-118146, ambas con una puntuación de riesgo de 84), y ambas están clasificadas como «Explotación más probable» (Exploitation More Likely) en lugar de «menos probable», una señal significativamente distinta que conviene sopesar junto con la propia puntuación.
El panel de vista previa, todavía un vector de ataque
Diez vulnerabilidades de este mes están marcadas con la misma nota que hemos visto en versiones anteriores: el panel de vista previa es un vector de ataque. El mes pasado eran cuatro.Cinco de ellas se ubican en el segundo nivel de riesgo más alto de este mes (84): CVE-2026-110043 y CVE-2026-110068 (RCE de Outlook), CVE-2026-110067 y CVE-2026-111285 (RCE de Word) y CVE-2026-111289 (RCE de Office). Las otras cinco afectan a PowerPoint, divididas entre ejecución remota de código y divulgación de información, con puntuaciones de riesgo más bajas.El patrón es el mismo que vale la pena repetir cada mes que aparece: sin clics, sin macros, sin mensaje de «habilitar contenido». Basta con previsualizar un archivo. El filtrado de archivos adjuntos y las reglas actuales de reducción de la superficie de ataque (Attack Surface Reduction) importan más que nunca cuando diez rutas de código distintas este mes pasan por la misma función de la interfaz.
La superficie de SharePoint sigue creciendo, y esta vez se trata de suplantación de identidad
SharePoint acumula 29 CVE este mes, frente a 16 el mes pasado. La composición también ha cambiado. La suplantación de identidad es la mayor categoría individual esta vez, con 10 CVE, por delante de la elevación de privilegios (9), la ejecución remota de código (7) y la divulgación de información (3). La superficie de SharePoint del mes pasado se inclinaba hacia RCE y EoP; este mes, engañar a un usuario o a un sistema para que confíe en algo en lo que no debería es el tema principal.La entrada de SharePoint de mayor riesgo este mes es CVE-2026-120002, una vulnerabilidad de elevación de privilegios con una puntuación CVSS de 9.9 y una puntuación de riesgo de 78, clasificada como «Explotación menos probable». Como antes, el volumen es tan importante aquí como cualquier CVE individual: restrinja los privilegios administrativos, supervise los cambios de permisos inusuales y aplique el conjunto completo de parches en lugar de elegir solo los de mayor puntuación.
Un nombre nuevo que vale la pena conocer: Windows Advanced Rasterization Platform
Veintitrés vulnerabilidades de elevación de privilegios de este mes se originan en Windows Advanced Rasterization Platform (ARP), un componente que no había tenido mucho protagonismo en versiones recientes. Todas están marcadas como «Alcance modificado» (Scope Changed) y requieren un atacante autorizado que actúe de forma local; las causas raíz comunes en todo el conjunto son los desbordamientos de búfer en el montón (heap), el uso después de liberación (use-after-free) y los desbordamientos de búfer en la pila. Las puntuaciones de riesgo de este grupo van de 56 a 72.Las 23 están clasificadas como «Explotación menos probable» y ninguna muestra explotación confirmada. Pero 23 vulnerabilidades de EoP en un único componente hasta ahora discreto merecen una advertencia solo por el inventario de activos: verifique si Windows Advanced Rasterization Platform está presente en su entorno y si se le da seguimiento de la misma manera que a sus componentes de Windows más conocidos.
El infractor reincidente de SQL Server: la inyección SQL
Microsoft SQL Server acumula 52 CVE este mes, entre ejecución remota de código y elevación de privilegios. Dentro de ese conjunto, once CVE distintas de elevación de privilegios (entre ellas CVE-2026-118105, CVE-2026-118109, CVE-2026-118110 y CVE-2026-118120, todas con CVSS 8.8 y puntuación de riesgo 72) comparten exactamente la misma causa raíz: la neutralización incorrecta de elementos especiales utilizados en un comando SQL, es decir, la inyección SQL, que permite que un atacante autorizado eleve privilegios a través de una red.Once CVE de la misma clase de vulnerabilidad subyacente, en el mismo producto y en el mismo mes, suelen indicar un patrón de código específico que se repite en el código base de SQL Server, y no doce errores sin relación. Si administra SQL Server a gran escala, vale la pena aplicar los parches de este grupo como un conjunto y preguntar a su equipo de DBA si el patrón aparece en otros lugares, como procedimientos almacenados o extensiones personalizados.
Hyper-V este mes: elevación de privilegios y denegación de servicio, no ejecución remota de código
Hyper-V acumula 16 CVE este mes, entre elevación de privilegios, denegación de servicio, suplantación de identidad y omisión de características de seguridad. Todas las descripciones de este mes requieren que el atacante ya tenga acceso local o autorizado; ninguna de las dieciséis describe una máquina virtual invitada que alcance el host, lo que es un escenario distinto de la cadena de invitado a host señalada en la versión del mes pasado.La entrada de mayor riesgo de este conjunto es CVE-2026-113753 (elevación de privilegios, CVSS 8.2, puntuación de riesgo 79), una de las cinco vulnerabilidades de EoP de Hyper-V marcadas como «Alcance modificado». Si ejecuta una infraestructura compartida de Hyper-V, el conjunto de este mes es de menor urgencia que la preocupación por el escape del host del mes pasado, pero aun así vale la pena aplicar los parches en grupo y no de forma individual.
Cómo ser el héroe este mes: siga el exploit, no la puntuación
- Aplique primero el parche de CVE-2026-124194. Es la única vulnerabilidad de este mes con explotación detectada y confirmada, a pesar de ser la única entrada Moderada de la versión. El estado de explotabilidad tiene prioridad sobre la puntuación CVSS cada vez que ambos discrepan.
- No se detenga en las cuatro vulnerabilidades Críticas de mayor riesgo. CVE-2026-112967, CVE-2026-116928 y CVE-2026-119958 (todas con puntuación de riesgo 89) y CVE-2026-119990 (puntuación de riesgo 87) son el techo de este mes por puntuación, aunque ninguna muestre por ahora explotación confirmada.
- Confirme qué significa «sin Evaluación de explotabilidad» para su entorno. Trece CVE de este mes, en su mayoría elementos de Azure y de servicios en la nube, no tienen ninguna evaluación. Verifique en los avisos de Microsoft si eso significa que el servicio ya está parcheado de forma centralizada o si todavía se requiere alguna acción de su parte.
- Vuelva a tratar el panel de vista previa como una superficie de ataque activa. Diez rutas de código distintas de este mes dependen de él, más que el mes pasado. Mantenga actualizados el filtrado de archivos adjuntos y las reglas de reducción de la superficie de ataque.
- Revise SharePoint como un sistema y preste atención específicamente a la suplantación de identidad. La suplantación, y no RCE ni EoP, es la mayor categoría entre las 29 CVE de SharePoint de este mes, un cambio respecto de la composición del mes pasado.
- Compruebe si Windows Advanced Rasterization Platform está presente en su entorno. Veintitrés CVE de elevación de privilegios de este mes se originan en este único componente; confirme que figura en su inventario de activos y en su cadencia de aplicación de parches de la misma manera que los componentes más conocidos.
- Aplique los parches del grupo de inyección SQL de SQL Server como un conjunto. Once CVE distintas de este mes comparten la misma causa raíz de inyección SQL en SQL Server; pregunte a su equipo de DBA si el patrón subyacente aparece en algún otro lugar.
- Priorice la resiliencia junto con la prevención. Cuando la prevención falla, la velocidad de recuperación es lo que limita el daño. Absolute permite a las organizaciones restaurar rápidamente endpoints comprometidos a escala mediante Absolute Persistence® integrado en el firmware y las capacidades automatizadas de Absolute Rehydrate®, lo que ayuda a reducir el tiempo de inactividad y la presión operativa durante incidentes graves.
See the November 2026 Patch Tuesday Chart (PDF).
