La actualización de seguridad de Microsoft del 10 de noviembre de 2026 corrigió más de 1.000 vulnerabilidades, incluido un fallo de Outlook que los atacantes ya habían utilizado para exponer los datos de inicio de sesión de Windows de los usuarios.
Tenable contabilizó 1.093 vulnerabilidades de Microsoft en la actualización, de las cuales 63 fueron clasificadas como críticas. Un recuento más amplio de BleepingComputer llegó a 1.235 al incluir vulnerabilidades de Microsoft Edge, que está basado en Chromium. Los totales varían según cómo se contabilicen las vulnerabilidades.
El fallo de Outlook, identificado como CVE-2026-124194, puede permitir que los atacantes hagan que una identidad falsa parezca fiable. Pueden activarlo persuadiendo a alguien para que abra un archivo especialmente diseñado. Outlook podría entonces conectarse a una ubicación controlada por un atacante sin mostrar su advertencia habitual.
Esto podría revelar el hash de autenticación NTLMv2 del usuario, una forma codificada de sus datos de inicio de sesión. Los atacantes podrían utilizarlo en intentos posteriores de suplantar al usuario. Microsoft clasificó la vulnerabilidad como moderada y le asignó una puntuación de 6,5 en la escala CVSS.
Pero, dado que Microsoft confirmó que los atacantes la habían explotado, instalar el parche es una prioridad urgente. La actualización también corrige vulnerabilidades críticas en productos y componentes de Microsoft que podrían permitir a los atacantes ejecutar código de forma remota. Asimismo, corrige vulnerabilidades críticas que podrían permitir a los atacantes obtener niveles de acceso más elevados en productos y componentes de Microsoft.
Como la corrección de Outlook se distribuye a través de los productos de Office afectados, los usuarios deberían buscar actualizaciones de Office, además de instalar los parches de Windows. Quienes utilicen dispositivos administrados por su trabajo deberían seguir las indicaciones de su equipo de TI.