Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Boletín de seguridad de Microsoft de noviembre de 2026

Fecha de publicación 11/11/2026
Identificador
INCIBE-2026-851
Importancia
5 - Crítica
Recursos Afectados
  • Outlook para Windows incluido en Microsoft 365 Apps para empresas, Office LTSC 2021 y Office LTSC 2024, en ediciones de 32 y 64 bits.
  • Windows y Windows Server, incluidos los componentes Windows Search, LDAP, Kerberos, DNS, DHCP, iSCSI, Xbox Live Networking Service, DirectMusic, Color Management, Media Foundation y Virtual Filtering Platform.
  • Microsoft Exchange Server, SQL Server, SharePoint Server y Azure DevOps Server.
  • Visual Studio Code, ASP.NET Core, Aspire Dashboard y Azure Privileged Identity Management (PIM), mediante Microsoft Graph.
  • Azure OpenAI, cuya corrección ha aplicado Microsoft en el servicio.

Consultar las ediciones, compilaciones y demás productos afectados en la guía de actualizaciones de Microsoft.

Descripción

Microsoft ha publicado sus actualizaciones de seguridad de noviembre. Entre los fallos descritos figuran 23 vulnerabilidades críticas y una de severidad media en Outlook que se está explotando activamente. Los fallos podrían permitir ejecutar código, elevar privilegios o suplantar a usuarios.

Solución

Aplicar las actualizaciones de noviembre correspondientes a cada producto y rama. Priorizar los equipos que utilizan Outlook para Windows y comprobar estas compilaciones:

  • Office LTSC 2021 a 16.0.14334.21048 o posterior.
  • Office LTSC 2024 a 16.0.17932.21140 o posterior.
  • Microsoft 365 Apps para empresas a la compilación corregida que corresponda al canal de actualización, según las notas de seguridad de Office.

Para Windows y los productos de servidor, seleccionar el paquete KB aplicable en la guía de MSRC. Actualizar Visual Studio Code a 1.145.3 o posterior y Aspire Dashboard a 13.6.5 o posterior. Microsoft ya ha aplicado la corrección de Azure OpenAI.

Detalle
  • CVE-2026-124194: al abrir un archivo de mensaje manipulado, Outlook puede conectarse a un recurso externo sin mostrar la advertencia habitual. Esto podría revelar el hash NTLMv2 del usuario y facilitar su suplantación. Microsoft confirma explotación activa.
  • CVE-2026-109467: un usuario con permisos de lectura de un proyecto de Azure DevOps podría provocar una ejecución no autorizada de canalizaciones y ejecutar código en sus agentes.
  • CVE-2026-120002: un control de autorización incorrecto en SharePoint Server podría permitir a un usuario autenticado elevar privilegios.
  • CVE-2026-112967: un desbordamiento de búfer en Windows Xbox Live Networking Service podría permitir la ejecución remota de código.
  • CVE-2026-116928: una escritura fuera de límites en Windows Search podría permitir ejecutar código. Microsoft documenta un escenario en el que Exchange procesa automáticamente un archivo adjunto para indexarlo.
  • CVE-2026-116945: un desbordamiento de búfer en SQL Server podría permitir la ejecución remota de código.
  • CVE-2026-119958: una escritura fuera de límites en Windows LDAP podría permitir a un atacante sin autenticar ejecutar código con los permisos del servicio.
  • CVE-2026-119990. la falta de autenticación en una función de Azure OpenAI podía permitir una elevación de privilegios. Microsoft ha corregido el servicio.
  • CVE-2026-85844: una vía alternativa de autenticación en Windows Kerberos podría permitir a un atacante elevar privilegios.
  • CVE-2026-88218: una doble liberación de memoria en Windows DNS podría permitir la ejecución remota de código.
  • CVE-2026-88234: la liberación de una referencia de memoria no válida en Windows iSCSI podría permitir la ejecución remota de código.
  • CVE-2026-88243: una lectura fuera de límites en Windows DHCP Server podría permitir la ejecución remota de código.
  • CVE-2026-95882 y CVE-2026-95901: un desbordamiento de búfer en la pila y una doble liberación de memoria, respectivamente, podrían permitir la ejecución remota de código en DirectMusic.
  • CVE-2026-96067 y CVE-2026-96078: un desbordamiento de entero y un desbordamiento de búfer, respectivamente, podrían permitir la ejecución remota de código en Microsoft Color Management.
  • CVE-2026-96157: un desbordamiento de búfer en Windows Media Foundation podría permitir la ejecución remota de código.
  • CVE-2026-120779: una inyección de código en Visual Studio Code podría permitir que un servidor MCP malicioso ejecute código con los permisos del usuario tras su interacción.
  • CVE-2026-114162: un control de autorización incorrecto en Microsoft Graph podría permitir asignar roles privilegiados en un entorno con Azure PIM.
  • CVE-2026-118740: la falta de autorización en Aspire Dashboard podría permitir suplantar a un usuario, acceder a información o modificar la telemetría.
  • CVE-2026-109454: un fallo de cross-site scripting en SharePoint podría permitir a un usuario autenticado suplantar a otro.
  • CVE-2026-114146: un control de autorización incorrecto en ASP.NET Core podría permitir actuar con los permisos de un usuario privilegiado si este sigue un enlace manipulado.
  • CVE-2026-80095: un fallo de cross-site scripting en SharePoint podría permitir a un usuario autenticado elevar privilegios.
  • CVE-2026-95962: el uso de memoria después de liberarla en Windows Virtual Filtering Platform podría permitir la ejecución remota de código.
CVE
Identificador CVE Severidad Explotación Fabricante
CVE-2026-124194 Media Sí MICROSOFT
CVE-2026-109467 Crítica No MICROSOFT
CVE-2026-120002 Crítica No MICROSOFT
CVE-2026-112967 Crítica No MICROSOFT
CVE-2026-116928 Crítica No MICROSOFT
CVE-2026-116945 Crítica No MICROSOFT
CVE-2026-119958 Crítica No MICROSOFT
CVE-2026-119990 Crítica No MICROSOFT
CVE-2026-85844 Crítica No MICROSOFT
CVE-2026-88218 Crítica No MICROSOFT
CVE-2026-88234 Crítica No MICROSOFT
CVE-2026-88243 Crítica No MICROSOFT
CVE-2026-95882 Crítica No MICROSOFT
CVE-2026-95901 Crítica No MICROSOFT
CVE-2026-96067 Crítica No MICROSOFT
CVE-2026-96078 Crítica No MICROSOFT
CVE-2026-96157 Crítica No MICROSOFT
CVE-2026-120779 Crítica No MICROSOFT
CVE-2026-114162 Crítica No MICROSOFT
CVE-2026-118740 Crítica No MICROSOFT
CVE-2026-109454 Crítica No MICROSOFT
CVE-2026-114146 Crítica No MICROSOFT
CVE-2026-80095 Crítica No MICROSOFT
CVE-2026-95962 Crítica No MICROSOFT
Listado de referencias
November 2026 Security Updates
Microsoft Outlook Spoofing Vulnerability
Known Exploited Vulnerabilities Catalog
Etiquetas