Vulnerabilidades y Avisos de Seguridad: Boletín de seguridad de Microsoft de noviembre de 2026

Resumen de la alerta

Microsoft ha publicado las actualizaciones de seguridad de noviembre de 2026 para múltiples productos de su catálogo, incluidos Outlook para Windows, Windows, Windows Server, Exchange Server, SQL Server, SharePoint Server, Azure DevOps Server, Visual Studio Code, ASP.NET Core, Aspire Dashboard y servicios de Azure.

El boletín reúne 23 vulnerabilidades críticas y una vulnerabilidad de severidad media en Outlook para Windows. Esta última, identificada como CVE-2026-124194, destaca por encontrarse en explotación activa confirmada.

Los fallos corregidos podrían permitir, según el producto afectado, ejecución remota de código, elevación de privilegios, suplantación de identidad, acceso no autorizado a información o modificación de datos y telemetría. La prioridad inicial debe centrarse en los equipos con Outlook para Windows y, a continuación, en servidores y servicios expuestos o críticos para la organización.

Recursos afectados

• Outlook para Windows incluido en Microsoft 365 Apps para empresas, Office LTSC 2021 y Office LTSC 2024, en ediciones de 32 y 64 bits.
• Windows y Windows Server, incluidos Windows Search, LDAP, Kerberos, DNS, DHCP, iSCSI, Xbox Live Networking Service, DirectMusic, Color Management, Media Foundation y Virtual Filtering Platform.
• Microsoft Exchange Server, SQL Server, SharePoint Server y Azure DevOps Server.
• Visual Studio Code, ASP.NET Core, Aspire Dashboard y Azure Privileged Identity Management mediante Microsoft Graph.
• Azure OpenAI.

Descripción de las vulnerabilidades

La vulnerabilidad con mayor urgencia operativa es CVE-2026-124194, que afecta a Outlook para Windows. Al abrir un archivo de mensaje especialmente manipulado, Outlook podría conectarse a un recurso externo sin mostrar la advertencia habitual. Como consecuencia, podría revelarse el hash NTLMv2 del usuario, lo que facilitaría su suplantación. Microsoft confirma que esta vulnerabilidad está siendo explotada activamente.

En el resto de productos, Microsoft ha corregido vulnerabilidades críticas para las que la fuente no indica explotación conocida:

• CVE-2026-109467: un usuario con permisos de lectura sobre un proyecto de Azure DevOps podría provocar la ejecución no autorizada de canalizaciones y ejecutar código en sus agentes.
• CVE-2026-120002: un control de autorización incorrecto en SharePoint Server podría permitir a un usuario autenticado elevar privilegios.
• CVE-2026-112967: un desbordamiento de búfer en Windows Xbox Live Networking Service podría permitir ejecución remota de código.
• CVE-2026-116928: una escritura fuera de límites en Windows Search podría permitir ejecutar código. Microsoft documenta un escenario en el que Exchange procesa automáticamente un archivo adjunto para indexarlo.
• CVE-2026-116945: un desbordamiento de búfer en SQL Server podría permitir ejecución remota de código.
• CVE-2026-119958: una escritura fuera de límites en Windows LDAP podría permitir a un atacante no autenticado ejecutar código con los permisos del servicio.
• CVE-2026-119990: una falta de autenticación en una función de Azure OpenAI podía permitir elevación de privilegios. Microsoft ya ha corregido el servicio.
• CVE-2026-85844: una vía alternativa de autenticación en Windows Kerberos podría permitir elevación de privilegios.
• CVE-2026-88218: una doble liberación de memoria en Windows DNS podría permitir ejecución remota de código.
• CVE-2026-88234: la liberación de una referencia de memoria no válida en Windows iSCSI podría permitir ejecución remota de código.
• CVE-2026-88243: una lectura fuera de límites en Windows DHCP Server podría permitir ejecución remota de código.
• CVE-2026-95882 y CVE-2026-95901: un desbordamiento de búfer en la pila y una doble liberación de memoria, respectivamente, podrían permitir ejecución remota de código en DirectMusic.
• CVE-2026-96067 y CVE-2026-96078: un desbordamiento de entero y un desbordamiento de búfer, respectivamente, podrían permitir ejecución remota de código en Microsoft Color Management.
• CVE-2026-96157: un desbordamiento de búfer en Windows Media Foundation podría permitir ejecución remota de código.
• CVE-2026-120779: una inyección de código en Visual Studio Code podría permitir que un servidor MCP malicioso ejecute código con los permisos del usuario tras su interacción.
• CVE-2026-114162: un control de autorización incorrecto en Microsoft Graph podría permitir asignar roles privilegiados en un entorno con Azure PIM.
• CVE-2026-118740: una falta de autorización en Aspire Dashboard podría permitir suplantar a un usuario, acceder a información o modificar la telemetría.
• CVE-2026-109454: un fallo de cross-site scripting en SharePoint podría permitir a un usuario autenticado suplantar a otro usuario.
• CVE-2026-114146: un control de autorización incorrecto en ASP.NET Core podría permitir actuar con los permisos de un usuario privilegiado si este sigue un enlace manipulado.
• CVE-2026-80095: un fallo de cross-site scripting en SharePoint podría permitir a un usuario autenticado elevar privilegios.
• CVE-2026-95962: un uso de memoria después de liberarla en Windows Virtual Filtering Platform podría permitir ejecución remota de código.

Impacto y nivel de riesgo

La ejecución remota de código es uno de los impactos más relevantes de este boletín, ya que podría permitir a un atacante ejecutar acciones en un sistema vulnerable dentro del contexto de los permisos disponibles. Este tipo de riesgo afecta, entre otros componentes, a LDAP, DNS, DHCP, SQL Server, Windows Search, iSCSI, DirectMusic, Media Foundation y Virtual Filtering Platform.

También se incluyen vulnerabilidades de elevación de privilegios y de autorización incorrecta. Estas pueden permitir que usuarios autenticados, o usuarios con determinados permisos previos, obtengan capacidades adicionales en SharePoint Server, Azure DevOps, Azure PIM, Kerberos, ASP.NET Core o Azure OpenAI.

La explotación activa confirmada se limita a CVE-2026-124194 en Outlook para Windows. Para las demás vulnerabilidades incluidas en el aviso, la fuente indica ausencia de explotación conocida. Esta circunstancia no elimina el riesgo potencial, pero permite diferenciar la prioridad de respuesta frente al fallo de Outlook actualmente explotado.

Determinadas vulnerabilidades requieren condiciones previas que deben tenerse en cuenta al evaluar el riesgo: permisos de lectura en Azure DevOps, autenticación previa en SharePoint o interacción de un usuario, como abrir un archivo de mensaje en Outlook, seguir un enlace manipulado en ASP.NET Core o interactuar con un servidor MCP malicioso desde Visual Studio Code.

Solución y medidas recomendadas

Microsoft ha publicado actualizaciones de seguridad para los productos afectados. Las organizaciones deben aplicar las actualizaciones de noviembre correspondientes a cada producto y rama de actualización.

Para Outlook para Windows, se recomienda priorizar la actualización de los equipos afectados y comprobar, como mínimo, las siguientes compilaciones:

• Office LTSC 2021: versión 16.0.14334.21048 o posterior.
• Office LTSC 2024: versión 16.0.17932.21140 o posterior.
• Microsoft 365 Apps para empresas: aplicar la compilación corregida correspondiente al canal de actualización utilizado, según las notas de seguridad de Office.

Para Windows y los productos de servidor, debe seleccionarse e instalarse el paquete KB aplicable conforme a la guía de actualizaciones de Microsoft.