Microsoft ha publicado su boletín de seguridad mensual conocido como Patch Tuesday con 1.235 vulnerabilidades corregidas. La corrección más urgente afecta a un zero-day activo en Microsoft Outlook, que los atacantes ya explotan para robar credenciales corporativas. La actualización llega junto a los paquetes acumulativos de Windows 11 y deja varias prioridades claras para quienes administran equipos y redes.
El gigante de Redmond ha lanzado las actualizaciones acumulativas KB5132061 y KB5131087 para Windows 11, junto con el resto de parches de seguridad del mes. De las 1.235 correcciones, 66 tienen calificación crítica: 48 son de ejecución remota de código, 15 de elevación de privilegios y tres de tipo Use-After-Free en Microsoft Edge. Pese al volumen, la prioridad para administradores y usuarios particulares es clara: el fallo de suplantación en Outlook, con explotación activa confirmada, exige actuar sin demora para blindar los hashes NTLM de las cuentas.
Zero-day de Outlook CVE-2026-124194 y cómo se explota
La vulnerabilidad CVE-2026-124194 es un fallo de suplantación en Microsoft Outlook que los atacantes ya utilizan para robar hashes NTLM de las cuentas de sus víctimas. Según advierte Microsoft en su guía de seguridad, «un atacante no autenticado podría enviar un archivo de mensaje especialmente manipulado y convencer a un usuario para que lo abra en una versión afectada de Microsoft Outlook». El ataque no requiere privilegios previos: basta con que la víctima abra el archivo adjunto.
«Abrir el archivo podría provocar que Outlook se conecte a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo, revelando potencialmente información de autenticación que podría utilizarse para suplantar al usuario», añade Microsoft en el mismo aviso. La explotación requiere conectividad de red e interacción del usuario. Esta conexión automática expone el hash NTLMv2 del usuario, que el atacante puede capturar e intentar descifrar sin conexión para acceder después a cuentas corporativas, siguiendo un patrón ya visto en campañas de phishing con adjuntos maliciosos.
El riesgo afecta sobre todo a entornos corporativos donde se usan cuentas de Windows integradas con Outlook: si el atacante logra capturar y descifrar el hash NTLMv2, puede acceder sin autorización a la red de la organización. Para los usuarios, la recomendación inmediata pasa por desconfiar de archivos de mensaje inesperados y actualizar Outlook en cuanto el parche esté disponible en vuestros equipos.
Los paquetes que hay que instalar sin demora
Vamos a repasar qué actualizaciones hay que instalar primero, dado el volumen de parches de este mes. Para proteger vuestros equipos, lo primero es instalar las actualizaciones de noviembre de 2026 a través de Windows Update. La prioridad absoluta es el parche que corrige el zero-day de Outlook, dado que ya hay explotación activa confirmada. Estos son los paquetes que conviene desplegar cuanto antes:
- Windows 11 KB5132061 y KB5131087: las actualizaciones acumulativas del sistema operativo para este mes.
- Microsoft Outlook: el parche específico para CVE-2026-124194, aplicable a las versiones del cliente de correo afectadas por el zero-day.
- Microsoft Edge: necesario para cerrar los 142 fallos del motor Chromium, entre ellos tres vulnerabilidades Use-After-Free.
El despliegue no debería demorarse, sobre todo en organizaciones donde Outlook se usa de forma masiva para intercambiar archivos adjuntos: cada equipo sin parchear mantiene abierta la vía de robo de credenciales mientras dure la exposición, algo especialmente relevante para los departamentos de TI que gestionan cientos de buzones de correo.
Desglose de los 1.235 fallos y por qué cambia el recuento
El recuento total de este Patch Tuesday asciende a 1.235 vulnerabilidades, de las cuales unas 639 afectan directamente a Windows o a sus componentes. De las 66 calificadas como críticas, 48 son de ejecución remota de código, 15 de elevación de privilegios y tres de tipo Use-After-Free en Edge.
El desglose completo por categorías deja 536 fallos de elevación de privilegios y 296 de ejecución remota de código, las dos familias más numerosas. A ellas se suman 157 vulnerabilidades de divulgación de información, 142 específicas de Microsoft Edge, 46 de denegación de servicio, 27 de elusión de funciones de seguridad y 22 de suplantación de identidad.
La diferencia entre los distintos recuentos publicados este mes tiene una explicación metodológica: BleepingComputer, que firma el análisis original de este boletín, solo contabiliza las vulnerabilidades publicadas por Microsoft el propio día de Patch Tuesday. Por eso, el total de 1.235 excluye 108 fallos corregidos antes en noviembre: uno de Entra Device Registration, 82 de Mariner y 25 de Microsoft Edge, publicados fuera del ciclo mensual habitual.
La tendencia al alza, que sigue a los 1.411 fallos de octubre, se atribuye al uso creciente de inteligencia artificial por parte de Microsoft para detectar y corregir errores a gran escala.
Para recibir estos parches que acaba de lanzar el gigante tecnológico para nuestros equipos compatibles con Windows, no tenemos más que acceder a la aplicación de Configuración y hacer uso de la función Windows Update. También podemos recibir estas actualizaciones recientes desde el catálogo oficial de la empresa a través de este enlace.