Patch Tuesday de noviembre: un zero-day de Outlook ya se usa para filtrar tu hash NTLM

Microsoft publicó este martes 10 de noviembre de 2026 su paquete mensual de parches, el Patch Tuesday de noviembre, y trae una sola vulnerabilidad que ya se estaba usando en ataques. Está en Outlook, se llama CVE-2026-124194 y, aunque Microsoft la etiqueta como «suplantación» y le pone un puntaje moderado, lo que hace es más concreto: si abrís un archivo de mensaje armado a propósito, Outlook se conecta a un servidor del atacante sin el aviso de siempre y le entrega tu hash NTLMv2, una huella de tu credencial de Windows con la que, según Microsoft, el atacante puede autenticarse como vos. El resto del paquete es enorme y no está explotado, pero incluye fallas críticas en Windows, Office y Exchange.

Qué hacer hoy, y es gratis: andá a Configuración → Windows Update → Buscar actualizaciones (en Windows 10, Configuración → Actualización y seguridad → Windows Update), dejá que baje y reiniciá. Después abrí Word u Outlook y entrá a Archivo > Cuenta > Opciones de actualización > Actualizar ahora (en el Outlook clásico, la pantalla se llama Cuenta de Office). El zero-day de este mes se arregla con la actualización de Office, no con la de Windows, así que el segundo paso no es opcional.

Qué te toca instalar, según tu Windows

Windows Update elige solo el paquete que corresponde. La tabla sirve para saber qué buscar y para comprobar que quedó puesto: apretá Win + R, escribí winver y mirá el número de compilación.

Los números salen de las páginas de soporte de Microsoft del 10 de noviembre. Tres filas tienen letra chica. La de Windows 11 24H2: la ficha de KB5132061 aplica el paquete solo a las ediciones Enterprise y Education de 24H2, así que Home y Pro de esa versión no figuran: su último parche fue el de octubre, como contamos en la nota del Patch Tuesday de octubre. La de 23H2 es la despedida: la ficha de KB5131087 avisa que Enterprise y Education llegaron al final y que este es «el último» parche para esas ediciones. Y la de Windows 10 se aplica a quien está anotado en las actualizaciones extendidas (ESU) y a las ediciones LTSC 2021; un Windows 10 Home o Pro sin ESU no lo va a recibir. Las empresas que usan hotpatch en Windows 11 o en Server 2025 tienen además sus paquetes propios: KB5132043 y KB5131077.

El zero-day de Outlook: un archivo que habla de más

La ficha de Microsoft para la CVE-2026-124194 la describe así: un atacante sin autenticar puede mandar «un archivo de mensaje especialmente diseñado» y convencer a alguien de abrirlo en una versión afectada de Outlook. Al abrirlo, Outlook puede conectarse a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo, y eso puede revelar información de autenticación (traducido del inglés). En otra respuesta de la misma ficha, Microsoft precisa qué se revela: el hash NTLMv2 del usuario. Microsoft la califica como moderada, con 6,5 sobre 10, y la marca con la etiqueta que importa: «Exploitation Detected», o sea, ya se usó en ataques reales.

Dos aclaraciones de la misma ficha, porque cambian cómo te protegés. La primera: la vista previa no es un vector. No alcanza con que el mensaje aparezca en el panel de lectura; hay que abrir el archivo. La segunda: el ataque necesita que vos hagas algo, y ese algo es abrir un adjunto que alguien te mandó. El truco no se salta tu desconfianza: se salta la de Outlook, que deja de avisarte.

¿Por qué importa un hash si no es tu contraseña? NTLM es el sistema de autenticación viejo que Windows sigue usando junto a otros más modernos, y Microsoft lo dice sin rodeos en la ficha: con ese hash, el atacante «podría usarlo para autenticarse como el usuario». Childs lo resume igual: el atacante puede usarlo para autenticarse como vos. Ninguno de los dos detalla cómo, y la ficha tampoco dice qué hicieron los atacantes con los hashes que ya obtuvieron. En una casa el daño suele quedar acotado a esa cuenta; en una oficina con una red de Windows, una credencial de un empleado es la puerta de entrada clásica para moverse hacia otros equipos.

Dustin Childs, de la Zero Day Initiative (ZDI), que publica cada mes un repaso del Patch Tuesday, la pone primera en su análisis de noviembre y advierte sobre el puntaje: «el CVSS es de solo 6,5, así que no dejes que el número te tranquilice» (traducido del inglés). Para él, que esté marcada como explotada la manda «arriba de la lista».

«It’s labeled spoofing, but the impact is bigger than the name suggests.»— Dustin Childs, Zero Day Initiative («figura como suplantación, pero el impacto es mayor de lo que sugiere el nombre», traducido del inglés)

Lo que la ficha no dice: quién la usó, contra quién ni desde cuándo. Microsoft no publicó esos datos, así que no hay forma de saber si hubo víctimas en América Latina. Tampoco propone un rodeo ni una mitigación: la solución que figura es la actualización de Office.

Qué Office tiene el arreglo

La ficha de la CVE-2026-124194 nombra a Office LTSC 2021 y Office LTSC 2024, en 32 y 64 bits, y a Microsoft 365 Apps para empresas. No nombra a Office para Mac. Las notas de seguridad de Office del mismo 10 de noviembre listan la CVE en la sección de Outlook y asignan la compilación del mes también a las ediciones de venta minorista: Office 2024 y Office 2021 quedan en la versión 2610, compilación 20527.20196, la misma del Canal Actual de Microsoft 365. Para comprobar la tuya, en Word u Outlook entrá a Archivo > Cuenta y mirá «Acerca de».

Una rareza que conviene leer con cuidado si tenés Office 2021 (de venta minorista o LTSC): el listado de ciclo de vida de Microsoft fija su retiro el 13 de octubre de 2026, y dice que después del retiro no hay más actualizaciones de seguridad. Aun así, las notas de noviembre le asignan una compilación con los arreglos del mes a Office 2021 y a Office LTSC 2021, y la ficha del zero-day nombra a LTSC 2021. También Office 2019 de licencia por volumen, sin soporte desde 2025, tiene compilación este mes. Microsoft no lo explica en ninguna de las dos páginas. Para Office 2019, en cambio, aclara en las mismas notas que puede publicar actualizaciones después del fin de su soporte «a su sola discreción». Lo prudente es instalar lo que hoy te llegue y no tomarlo como una extensión del soporte. En la nota de octubre contamos ese parche como el último de Office 2021, que es lo que decía el listado de ciclo de vida; noviembre muestra que Microsoft todavía le mandó uno más.

Lo crítico que no está explotado (todavía)

El documento de seguridad del mes, el archivo de datos que Microsoft publica con cada CVE, su gravedad y el parche que la corrige, trae 1.342 entradas, de las cuales 68 son críticas. Ese número mezcla fallas de Microsoft con las de Chromium que hereda Edge y con las de Mariner, la distribución Linux de Microsoft, así que no sirve como total limpio. Childs cuenta «unas 1.090» CVE nuevas, menos que las «1.400 o algo así» de octubre. Ninguna otra falla figura como explotada ni como divulgada antes del parche.

De las críticas, estas son las que conviene conocer aunque no administres servidores:

• CVE-2026-112967, servicio de red de Xbox Live en Windows (9,8 sobre 10). Permite ejecutar código a un atacante que esté en la misma red, sin interacción del usuario. La ficha la lista en Windows 10 y Windows 11 de escritorio. Microsoft la considera de explotación «menos probable».
• Tres críticas de Outlook que sí se disparan desde la vista previa: CVE-2026-110043, CVE-2026-110068 y CVE-2026-111309, con 8,8 sobre 10. A diferencia del zero-day, en estas Microsoft responde que el panel de vista previa «sí» es un vector: alcanza con que selecciones el correo para verlo. Ninguna figura como explotada y Microsoft las considera de explotación «menos probable».
• CVE-2026-119969, fuentes gráficas de Windows (8,8). Ejecución de código que necesita que el usuario haga algo; la ficha no detalla el escenario.
• Veinte críticas de Office en total, contando las tres de Outlook, todas con 8,8: la mayoría en Excel y Word, más PowerPoint. Se arreglan con el mismo «Actualizar ahora» del principio.

Para las empresas, la lista se pone más pesada. La CVE-2026-116928, en la búsqueda de Windows (9,8), se dispara en servidores Exchange con solo recibir un correo con un adjunto preparado: Exchange lo indexa automáticamente y el destinatario no tiene que abrir nada. Childs la describe como un fallo de ejecución de código «sin clic» contra un objetivo de alto valor. La CVE-2026-119958, en LDAP (9,8), permite ejecutar código sin credenciales con llamadas de red armadas, y según ZDI puede ser «bastante destructiva» en los controladores de dominio. Y hay una seguidilla de críticas en Message Queuing, Schannel, CredSSP, IIS y Hyper-V que justifica no esperar a la ventana de mantenimiento de fin de mes.

Las fechas que deja a la vista este paquete

Noviembre también es un mes de calendario. Entre las páginas de soporte y el listado de ciclo de vida, Microsoft deja cuatro fechas que conviene agendar:

• Hoy, el último parche de Windows 11 23H2 para empresas y escuelas. Si tu equipo de trabajo sigue en 23H2 Enterprise o Education, desde diciembre queda sin protección contra las fallas nuevas. La salida es pasar a una versión con soporte, como 24H2, 25H2 o 26H2.
• Diciembre sin vista previa. Por las fiestas, Microsoft no va a publicar la actualización opcional de la segunda mitad de diciembre. Esa es la actualización de arreglos no urgentes que se puede instalar antes que el resto. La ficha agrega que el ritmo mensual normal, «tanto de las actualizaciones de seguridad como de las vistas previas», vuelve en enero de 2027 (traducido del inglés), sin detallar qué pasa con el parche de seguridad de diciembre.
• 12 de enero de 2027, fin del soporte gratis de Windows 10 Enterprise LTSC 2021. La ficha de KB5131096 lo avisa arriba de todo. Afecta a empresas y a equipos dedicados (cajas, kioscos, máquinas industriales) que usan esa edición.
• 9 de octubre de 2029, retiro de Office 2024. Es la fecha que fija el listado de ciclo de vida de Microsoft para Office 2024.

Además del parche: lo que puede cambiar en tu PC

La ficha de KB5132061 trae, además de la seguridad, cambios que se notan. Dos son de seguridad «preventiva» y dos son arreglos de problemas que causaron parches anteriores.

• Windows ofrece firmar NTLM por defecto. Windows 11 pasa a ofrecer la firma de mensajes NTLM en todas las conexiones que no son anónimas, para reducir los ataques de retransmisión (relay), en los que un atacante reenvía tu autenticación a otro servidor. No es el arreglo del zero-day de Outlook, que va por Office, pero apunta al mismo problema de fondo: NTLM sigue siendo un punto débil y Microsoft lo está cerrando de a poco.
• PowerShell más estricto con las firmas. Un script firmado que tenga caracteres UTF-8 inválidos puede dejar de pasar la validación, aunque antes funcionara. Si administrás equipos con scripts firmados, Microsoft indica guardarlos en UTF-8 con BOM y volver a firmarlos.
• Arreglado el audio USB con error 10. Los dispositivos de audio USB 1.0 que dejaban de arrancar después de un parche reciente vuelven a funcionar en Windows 11. En Windows 10, la ficha de KB5131096 lo sigue listando como problema conocido, resuelto solo en parte.
• Arreglado el error 87 con impresoras de Active Directory. Agregar una impresora publicada en el directorio desde Configuración fallaba con «El parámetro no es correcto» desde el parche de octubre. Según Microsoft, en general no afectaba a las impresoras ya instaladas.

Y, para variar, Microsoft dice que no conoce problemas con esta actualización. Es la frase que más rápido envejece en cada Patch Tuesday, así que si algo raro aparece en los próximos días, lo vamos a contar.

Qué le cambia a cada uno

• En tu casa: Windows Update y el «Actualizar ahora» de Office, hoy. Mientras tanto, desconfiá de cualquier adjunto que no esperabas, aunque venga de alguien conocido, y sobre todo de los archivos de mensaje adjuntos dentro de otro correo.
• En una pyme: el zero-day de Outlook va primero. Revisá que los equipos con Office tomen la compilación del mes y que nadie tenga las actualizaciones de Office desactivadas. Si en Archivo > Cuenta solo ves el botón «Acerca de», tu Office es de licencia por volumen o lo administra tu empresa, según la guía de Microsoft para actualizar Office: pedile a quien lo gestiona que lo distribuya. Y si el botón «Actualizar ahora» no aparece, primero tocá «Habilitar actualizaciones».
• Si administrás servidores: Exchange y los controladores de dominio son la prioridad por la CVE-2026-116928 y la CVE-2026-119958. Probá antes la firma NTLM y la de PowerShell, que pueden romper integraciones viejas.
• Si seguís en Windows 10 sin ESU o en Office 2016: no figuran en este paquete. Las salidas son anotarte en el ESU, pasar a una versión con soporte o, para el correo, usar Outlook en la web con una cuenta Microsoft.

🛒 Si tu Office quedó sin soporte

Primero, la opción gratis: Outlook en la web, con una cuenta Microsoft, no necesita instalar nada. Si preferís el Office de escritorio sin suscripción, una opción de pago único es Office 2024, cuyo retiro Microsoft fija para el 9 de octubre de 2029.

Microsoft Office 2024 Home & Business (Bind) — 1 PC o MacWord, Excel, PowerPoint, Outlook y OneNote 2024, pago único, con la licencia vinculada a tu cuenta Microsoft.Ver precio de hoy →

Lo que queda abierto: quién está usando el zero-day de Outlook y contra quién, si Microsoft va a explicar por qué Office 2021 recibió un parche después de su retiro, y si la firma NTLM por defecto va a traer problemas de compatibilidad en redes viejas. Son las preguntas que vamos a seguir este mes.

Fuentes

• Microsoft, guía de actualizaciones de seguridad de noviembre de 2026 y su documento CVRF (en inglés; archivo de datos de unos 28 MB), descargado el 10 de noviembre de 2026. Fichas de CVE-2026-124194, CVE-2026-110043, CVE-2026-110068, CVE-2026-111309, CVE-2026-112967, CVE-2026-116928, CVE-2026-119958 y CVE-2026-119969. Traducción de TCD.
• Microsoft Support, páginas de KB5132061, KB5132059, KB5131087, KB5131096, KB5131080, KB5131090, KB5131085 y KB5131291 (en inglés), del 10 de noviembre de 2026.
• Microsoft Learn, notas de las actualizaciones de seguridad de Office, productos que terminan su soporte en 2026 y en 2029 (en inglés), consultadas el 10 de noviembre de 2026.
• Microsoft Support, «Instalar actualizaciones de Office», consultada el 10 de noviembre de 2026.
• Zero Day Initiative, «The November 2026 Security Update Review», de Dustin Childs (en inglés), 10 de noviembre de 2026. Traducción de TCD.
• Créditos de imagen: fotomontajes editoriales asistidos por IA con el logo de Microsoft tomado de su cuenta oficial.

¿Ya actualizaste Office o te enteraste por esta nota de que tenías que hacerlo? Contanos en los comentarios ⬇️
Visitá la tienda