Patch Tuesday de noviembre 2026: zero-day en Outlook y más de 1.000 fallas

El zero-day de Outlook acapara los titulares, pero el verdadero desafío de este mes es el volumen. Los equipos de TI enfrentan más de 1.000 correcciones, 63 de ellas calificadas como Críticas. La elevación de privilegios representa alrededor del 49 % de las fallas y la ejecución remota de código cerca del 27 %. Por producto, Windows suma 733 correcciones, Office 174, SQL Server 52, SharePoint Server 27 y Exchange Server 9.

Varias fallas no explotadas merecen tanta atención como el zero-day, porque afectan a los servidores de los que depende la empresa:

• CVE-2026-119958 (CVSS 9,8): ejecución remota de código en LDAP de Windows, sin autenticación ni interacción del usuario.
• CVE-2026-116928 (CVSS 9,8): ejecución remota de código en Windows Search, alcanzable mediante un correo cuyo adjunto malicioso se indexa automáticamente. La corrección está en la actualización acumulativa de Windows, no en la de Exchange.
• CVE-2026-118207 (CVSS 8,8): ejecución remota de código autenticada en Exchange Server.
• CVE-2026-118146 (CVSS 8,8): ejecución remota de código autenticada en Active Directory Domain Services.
• CVE-2026-119952 (CVSS 8,1): ejecución remota de código en Schannel, que Microsoft califica como "explotación más probable".
• Message Queuing (MSMQ): varias fallas de ejecución remota de código con puntuación 8,1.

Los cambios de ciclo de vida añaden presión. Windows 11 23H2 Enterprise y Education reciben este mes su última actualización, y las actualizaciones de seguridad extendidas de Exchange Server 2016 y 2019 terminaron en octubre de 2026, por lo que esas versiones ya ni siquiera aparecen en la publicación. Quien todavía las utilice está parcheando alrededor de una brecha, no cerrándola. Sin un proceso basado en riesgo, los equipos pequeños terminan aplicándolo todo tarde o aplicando primero lo menos urgente.

El enfoque más rápido y seguro es parchear según la exposición, no según el nombre del producto. Esta secuencia sigue la guía del fabricante y el orden de parcheo que recomiendan los investigadores de seguridad para esta publicación.

1. Actualice Office primero en todas las estaciones de trabajo. CVE-2026-124194 es la única falla bajo ataque activo. Distribuya las actualizaciones de Microsoft 365 Apps y Office LTSC y confirme la compilación instalada (Archivo > Cuenta de Office > Acerca de Outlook). Office LTSC 2021 debe llegar a la compilación 16.0.14334.21048 y Office LTSC 2024 a la 16.0.17932.21140.
2. Parchee los controladores de dominio. Las fallas de LDAP y Active Directory convierten a los controladores de dominio en el objetivo de mayor valor. Aplique la actualización acumulativa de Windows Server en una ventana controlada.
3. Parchee dos veces los servidores Exchange. Instale la actualización acumulativa de Windows (por la falla de Windows Search) y la actualización de seguridad de Exchange Server SE (KB5133453).
4. Parchee los hosts Hyper-V y el resto de servidores, incluidos SQL Server y SharePoint, que reciben varias correcciones de alta severidad.
5. Refuerce la protección contra el robo de NTLM mientras parchea. Bloquee el SMB saliente (TCP 445) hacia internet, exija la firma SMB y LDAP, habilite la Protección Extendida para la Autenticación (EPA) y agregue las cuentas privilegiadas al grupo Protected Users. Estas medidas reducen los ataques de filtración de hashes incluso antes de que todos los equipos estén actualizados.
6. Reduzca la superficie de ataque. Desactive Message Queuing donde no se utilice y restrinja el puerto TCP 1801 donde deba funcionar.
7. Verifique y busque amenazas. Confirme el cumplimiento de parches en toda la flota y revise los registros en busca de conexiones SMB o WebDAV salientes inesperadas desde Outlook desde principios de noviembre.

Los controles de salida del paso 5 son más fáciles de aplicar de forma centralizada. Un diseño gestionado de SD-WAN y SASE aplica la misma política de salida en cada sucursal, de modo que una conexión SMB bloqueada en la sede central también queda bloqueada en todas las oficinas remotas.

Un proceso disciplinado de Patch Tuesday convierte una emergencia mensual en una rutina predecible. Las organizaciones que abordan esta publicación como un proyecto estructurado, y no como un despliegue masivo, obtienen ventajas claras.

Menor riesgo de brecha. Cerrar rápidamente el zero-day de Outlook elimina una vía de ataque activa hacia las credenciales de los usuarios. Los hashes NTLM robados son un primer paso habitual hacia el movimiento lateral y el ransomware, por lo que parchear a tiempo reduce directamente la probabilidad de un incidente mayor.

Menos tiempo de inactividad. Parchear según la exposición permite actualizar los sistemas más importantes, como controladores de dominio, Exchange y hosts Hyper-V, en ventanas planificadas y con reversión probada, en lugar de reiniciarlos al azar.

Cumplimiento listo para auditoría. Muchas regulaciones y pólizas de ciberseguro preguntan con qué rapidez se corrigen las vulnerabilidades críticas y explotadas. Usar el plazo de CISA KEV como nivel de servicio interno ofrece a los auditores un estándar claro y defendible.

Mayor visibilidad. Un programa de parches basado en un inventario preciso revela servidores olvidados, versiones de Exchange sin soporte y equipos atascados en canales antiguos de Office antes de que los encuentren los atacantes.

Defensa en profundidad. Combinar el parcheo con monitoreo SOC 24/7 y detección y respuesta gestionadas (MDR) permite detectar intentos sospechosos de autenticación saliente incluso en equipos que aún no han recibido la actualización. Los parches cierran la puerta; el monitoreo le dice si alguien ya intentó abrirla.

HIT Communications ayuda a empresas de América Latina, Estados Unidos y Europa a convertir meses como este en mantenimiento de rutina. Con más de 30 años de experiencia en telecomunicaciones y TI empresariales, HIT reúne la operación de infraestructura y la seguridad en un solo equipo.

Nuestros servicios gestionados de TI cubren inventario, pruebas de parches, despliegue por etapas e informes de cumplimiento para Windows, Office, Exchange y cargas de trabajo de servidores, con ventanas de mantenimiento planificadas según su horario de negocio. Nuestros servicios gestionados de ciberseguridad, que incluyen SOC, SIEM y MDR, vigilan intentos de explotación como la filtración de hashes NTLM y la retransmisión de credenciales, y responden las 24 horas. Y como HIT también diseña y opera redes empresariales, podemos aplicar controles de seguridad de salida, como bloquear el SMB hacia internet, de forma coherente en todas las sedes mediante SD-WAN y conectividad gestionada.

El resultado es un único socio responsable del parcheo, la detección y la red que los conecta, en lugar de tres proveedores culpándose entre sí durante un incidente.

El Patch Tuesday de noviembre de 2026 no es una publicación para aplicar "cuando haya tiempo". Un zero-day de Outlook ya se explota para robar hashes NTLM, y fallas críticas en LDAP, Windows Search, Exchange y Active Directory ponen en riesgo la infraestructura central. Las prioridades son claras: actualizar Office en todos los equipos, parchear después los controladores de dominio y Exchange, reforzar NTLM y SMB, y verificar que nada haya quedado pendiente.

Si su equipo necesita ayuda para priorizar esta publicación, cerrar brechas en sistemas sin soporte o implementar monitoreo continuo, contacte a HIT Communications hoy mismo. Nuestros especialistas pueden revisar su exposición y diseñar un plan de parches y seguridad al ritmo del ciclo mensual de Microsoft.