Microsoft corrige 200 vulnerabilidades, entre ellas un fallo de Outlook que CISA confirma como explotado

Qué ha pasado

CISA, la agencia de ciberseguridad de Estados Unidos, ha incluido hoy CVE-2026-124194 en su catálogo KEV de vulnerabilidades explotadas, lo que confirma que los atacantes ya la están aprovechando. Es un fallo de Microsoft Outlook con una puntuación CVSS 6.5: el programa no advierte al usuario de acciones inseguras, lo que permite a un atacante sin autenticar suplantar contenido a través de la red. Necesita que la víctima interactúe y su principal impacto es la exposición de información.

Este fallo forma parte de las 200 vulnerabilidades que Microsoft corrigió el 10 de noviembre de 2026. Según los avisos del centro de respuesta de seguridad de Microsoft (MSRC), 21 tienen gravedad crítica (CVSS entre 9.0 y 9.9), 178 son de gravedad alta (CVSS 8.8) y la de Outlook es de gravedad media. Todos los datos proceden del fabricante; la NVD, la base de datos de vulnerabilidades de Estados Unidos, todavía no ha publicado estas fichas.

Estado de la explotación

Solo CVE-2026-124194 tiene explotación activa confirmada. CISA ha fijado el 24 de noviembre de 2026 como plazo de corrección para los organismos federales estadounidenses y no consta si se ha usado en campañas de ransomware. No se conoce ningún exploit público, y tres medios especializados se han hecho eco del fallo en la última semana.

Para el resto no hay constancia de explotación ni de exploits públicos, aunque varias de las críticas pueden atacarse a través de la red sin credenciales ni intervención del usuario, lo que las convierte en objetivos atractivos.

Los fallos más graves

Las vulnerabilidades críticas se concentran en servicios de red de Windows, SharePoint, SQL Server y servicios en la nube y de desarrollo. Las etiquetas de producto de estas fichas son inferidas automáticamente, por lo que la referencia es la descripción de cada aviso de Microsoft.

• Servicios de red de Windows, CVSS 9.8 y explotables sin autenticar: ejecución remota de código (RCE) en Windows DNS (CVE-2026-88218), Windows DHCP Server (CVE-2026-88243), LDAP, el protocolo de acceso a directorios (CVE-2026-119958), iSCSI, el protocolo de almacenamiento en red (CVE-2026-88234) y el componente Windows Search (CVE-2026-116928); además, un bypass de autenticación en Windows Kerberos que permite escalar privilegios (CVE-2026-85844).
• Componentes multimedia de Windows, CVSS 9.8: desbordamientos de búfer en DirectMusic (CVE-2026-95882 y CVE-2026-95901) y en Media Foundation (CVE-2026-96157) que permiten ejecutar código arbitrario.
• Xbox, CVSS 9.8: RCE en Xbox (CVE-2026-66801) y en el servicio Windows Xbox Live Networking (CVE-2026-112967).
• SQL Server, CVSS 9.8: desbordamiento de búfer en el heap que permite a un atacante sin autenticar ejecutar código (CVE-2026-116945).
• SharePoint: escalada de privilegios por autorización incorrecta con CVSS 9.9 (CVE-2026-120002), dos XSS (cross-site scripting) con CVSS 9.0 (CVE-2026-109454 y CVE-2026-80095) y dos fallos de deserialización con CVSS 8.8 que permiten a un usuario autenticado ejecutar código (CVE-2026-109464 y CVE-2026-109472).
• Nube y desarrollo: RCE en Azure DevOps con CVSS 9.9 (CVE-2026-109467); escalada de privilegios sin autenticar en Azure Managed Grafana (CVE-2026-114160) y Azure OpenAI (CVE-2026-119990), ambas con CVSS 9.8; inyección de código en Visual Studio Code con CVSS 9.6 (CVE-2026-120779), y escaladas de privilegios en Microsoft Graph, CVSS 9.1 (CVE-2026-114162), y ASP.NET Core, CVSS 9.0 (CVE-2026-114146).
• Otros fallos de Windows con CVSS 8.8: iSCSI (CVE-2026-105518), Windows Storage (CVE-2026-105534), NTFS (CVE-2026-105542), Windows DNS (CVE-2026-109463), Remote Desktop Services (CVE-2026-108401) y una escalada local de privilegios en Desktop Window Manager (CVE-2026-105581).

Listado por producto

El resto de vulnerabilidades tiene CVSS 8.8. La mayoría son fallos de memoria en Office (desbordamientos de búfer en el heap y el stack, use-after-free, lecturas fuera de límites y liberaciones dobles) que permiten ejecutar código.

• Word: CVE-2026-109501, CVE-2026-109503, CVE-2026-109505, CVE-2026-110047, CVE-2026-110048, CVE-2026-110050, CVE-2026-110054, CVE-2026-110055, CVE-2026-110061, CVE-2026-110062, CVE-2026-110064, CVE-2026-110067, CVE-2026-111285, CVE-2026-111290, CVE-2026-111294, CVE-2026-111295, CVE-2026-111298, CVE-2026-111299, CVE-2026-111304, CVE-2026-111306, CVE-2026-111307, CVE-2026-111308, CVE-2026-111310, CVE-2026-112714, CVE-2026-112715, CVE-2026-112716, CVE-2026-112717, CVE-2026-112718, CVE-2026-112719, CVE-2026-112721, CVE-2026-112722, CVE-2026-112723, CVE-2026-112724, CVE-2026-112726, CVE-2026-112728, CVE-2026-112729, CVE-2026-112730, CVE-2026-112733, CVE-2026-112735, CVE-2026-112739, CVE-2026-112741, CVE-2026-116719, CVE-2026-116720, CVE-2026-116722, CVE-2026-116923, CVE-2026-116925, CVE-2026-123394.
• Excel: CVE-2026-116927, CVE-2026-118292, CVE-2026-118293, CVE-2026-118294, CVE-2026-118295, CVE-2026-118296, CVE-2026-118297, CVE-2026-118298, CVE-2026-118299, CVE-2026-118302, CVE-2026-118700, CVE-2026-118701, CVE-2026-118702, CVE-2026-118703, CVE-2026-118704, CVE-2026-118705, CVE-2026-118706, CVE-2026-118707, CVE-2026-118708, CVE-2026-118709, CVE-2026-118710, CVE-2026-118711, CVE-2026-118712, CVE-2026-118713, CVE-2026-118714, CVE-2026-118715, CVE-2026-118716, CVE-2026-118717, CVE-2026-118718, CVE-2026-118719, CVE-2026-118720, CVE-2026-118721, CVE-2026-118722, CVE-2026-118724, CVE-2026-118725, CVE-2026-118726, CVE-2026-118729, CVE-2026-118730, CVE-2026-118731, CVE-2026-118732, CVE-2026-119986, CVE-2026-120785, CVE-2026-120786, CVE-2026-120788, CVE-2026-120789, CVE-2026-120790, CVE-2026-120791, CVE-2026-123385, CVE-2026-124174, CVE-2026-124176, CVE-2026-124187.
• Outlook: CVE-2026-110043, CVE-2026-110068, CVE-2026-111309, CVE-2026-123375, CVE-2026-123376, CVE-2026-123377, CVE-2026-123380, CVE-2026-123381, CVE-2026-123382, CVE-2026-123383, CVE-2026-123384.
• Access: CVE-2026-109493, CVE-2026-110058, CVE-2026-110059, CVE-2026-110060, CVE-2026-111301, CVE-2026-111305; Visio: CVE-2026-109494, CVE-2026-109496; PowerPoint: CVE-2026-112734, CVE-2026-112737, CVE-2026-120001, CVE-2026-120005; Office: CVE-2026-111289, CVE-2026-116717, CVE-2026-120003, CVE-2026-122198.
• SharePoint (deserialización, SSRF, confusión de tipos y autorización incorrecta): CVE-2026-109499, CVE-2026-109502, CVE-2026-110044, CVE-2026-123390, CVE-2026-123391.
• SQL Server (inyección SQL, inyección de comandos y desbordamientos de búfer): CVE-2026-116930, CVE-2026-116934, CVE-2026-116941, CVE-2026-116942, CVE-2026-116946, CVE-2026-118105, CVE-2026-118109, CVE-2026-118110, CVE-2026-118120, CVE-2026-67372.
• Exchange Server (inyección de código, bypass de autorización y validación de la entrada): CVE-2026-118149, CVE-2026-118150, CVE-2026-118154, CVE-2026-118207; en el caso de CVE-2026-118207, el aviso indica que el atacante debe estar autenticado.
• Visual Studio: CVE-2026-114151, CVE-2026-114152, CVE-2026-114158, CVE-2026-114159, CVE-2026-118745; Visual Studio Code: CVE-2026-114171, CVE-2026-119975, CVE-2026-119983, CVE-2026-121663, CVE-2026-121665.
• Windows: DNS Server (CVE-2026-112727), Print Spooler (CVE-2026-112762, CVE-2026-119950), kernel (CVE-2026-112805), DHCP Client (CVE-2026-113863), Codecs Library (CVE-2026-114164), Active Directory Domain Services (CVE-2026-118146), Remote Desktop Client (CVE-2026-119824, CVE-2026-119839, CVE-2026-119934), Input System (CVE-2026-119862, CVE-2026-119916), SMB (CVE-2026-122176) y PowerShell (CVE-2026-124226).
• Otros: Microsoft Defender (CVE-2026-122194) y un path traversal en un producto de Microsoft que el extracto disponible no precisa (CVE-2026-124228).

Qué hacer

Los datos disponibles no detallan las versiones afectadas ni las corregidas; la referencia es la guía de actualizaciones de seguridad de MSRC, que indica el parche concreto para cada producto.

• Instalar con urgencia las actualizaciones de Outlook que corrigen CVE-2026-124194, como muy tarde antes del 24 de noviembre.
• Priorizar los servidores Windows con DNS, DHCP, LDAP o Kerberos, en especial los controladores de dominio, y los que usen iSCSI.
• Actualizar cuanto antes SharePoint, SQL Server y Exchange Server y comprobar si están expuestos a internet; si lo están, restringir el acceso hasta aplicar el parche.
• Desplegar las actualizaciones de Office (Word, Excel, Outlook, Access, Visio y PowerPoint) en todos los puestos y recordar a los usuarios que desconfíen de correos y documentos inesperados.
• Actualizar Visual Studio, Visual Studio Code y las aplicaciones basadas en ASP.NET Core en los equipos de desarrollo.
• En los servicios en la nube (Azure DevOps, Azure OpenAI, Azure Managed Grafana y Microsoft Graph), consultar el aviso de cada CVE para saber si el cliente debe hacer algo.

Fuentes

• Microsoft MSRC: CVE-2026-124194 (Outlook)
• Microsoft MSRC: CVE-2026-109467 (Azure DevOps)
• Microsoft MSRC: CVE-2026-120002 (SharePoint)
• Microsoft MSRC: CVE-2026-116945 (SQL Server)
• Microsoft MSRC: CVE-2026-88218 (Windows DNS)
• Microsoft MSRC: CVE-2026-85844 (Windows Kerberos)
• MSRC: CVE-2026-119958 (Windows LDAP)

Tecnologías afectadas

Vulnerabilidades (377)