Microsoft lanza parches para una oleada crítica de vulnerabilidades

Microsoft ha publicado una serie masiva de correcciones para 1,093 vulnerabilidades de seguridad, incluyendo fallos de ejecución remota de código y una vulnerabilidad de día cero. La actualización incluye parches críticos para servicios clave como Exchange, SharePoint y Windows Search.

Microsoft ha lanzado una nueva serie de parches para abordar 1,093 vulnerabilidades de seguridad, entre las cuales se incluyen 63 catalogadas con severidad crítica. Esta entrega destaca por incluir una vulnerabilidad de día cero (CVE-2026-124194) que ya está siendo explotada activamente por actores de amenazas.

Vulnerabilidades críticas en infraestructura de correo y colaboración

Dos de las fallas más preocupantes afectan a servicios de infraestructura crítica. La primera, CVE-2026-118207 (CVSS 8.8), afecta a Exchange Server. Se trata de una vulnerabilidad de ejecución remota de código (RCE) causada por una validación de entrada incorrecta. Un atacante con un inicio de sesión de bajo privilegio puede enviar solicitudes especialmente elaboradas para ejecutar código sin interacción del usuario. Debido a que Exchange suele tener amplios privilegios en Active Directory, el impacto potencial es masivo.

Por otro lado, SharePoint Server presenta la vulnerabilidad CVE-2026-120002 (CVSS 9.9). Este fallo de escalada de privilegios permite que un usuario con una cuenta de bajo nivel ejecute solicitudes a través de la red para obtener privilegios elevados sin intervención del usuario. La alta puntuación CVSS refleja que el ataque supera el componente afectado y compromete el sistema de forma profunda.

Riesgos en Outlook y servicios de red

El ecosistema de Office también incluye parches importantes. La vulnerabilidad CVE-2026-110043 (CVSS 8.8) es un desbordamiento de búfer en Outlook que se activa mediante el panel de vista previa. Un usuario que seleccione un correo malicioso podría ejecutar código con sus permisos. Además, la vulnerabilidad CVE-2026-119958 afecta al servicio LDAP de Windows, permitiendo a un atacante no autenticado ejecutar código a través de llamadas LDAP maliciosas, lo cual es especialmente peligroso en controladores de dominio.

Finalmente, se identificó la CVE-2026-116928 (CVSS 9.8) en Windows Search. Esta falla permite a un atacante no autenticado ejecutar código mediante un archivo adjunto especialmente elaborado que se activa automáticamente cuando el servidor indexa el contenido, sin que el destinatario deba abrir nada.

Por qué importa y qué hacer

La magnitud de este ciclo de parches es considerable y requiere que los equipos de TI prioricen según la exposición y el impacto en el negocio. Para las organizaciones en Chile y Latinoamérica, que dependen fuertemente de infraestructuras de Microsoft para la gestión de correos y colaboración, es imperativo actuar con rapidez en los sistemas que dan acceso a internet.

• Aplica de inmediato el parche para Exchange Server y reinicia el servicio para mitigar la ejecución remota de código.
• Actualiza SharePoint Server para corregir la vulnerabilidad de escalada de privilegios con puntuación 9.9.
• Despliega las actualizaciones de Office para proteger a los usuarios contra ataques vía panel de vista previa.
• Parchea los servicios de red expuestos, como DNS, DHCP y LDAP, para evitar ataques de ejecución de código sin interacción.
• Prioriza las vulnerabilidades que están siendo explotadas activamente y aquellas que afectan a servicios con acceso externo.

Relacionado:
Google corrige el octavo zero-day de Chrome en 2026
Extensiones maliciosas podrían ejecutar código en tu PC vía Claude
Vulnerabilidad en Brotli y riesgos en herramientas de IA

Fuente:
https://www.darkreading.com/vulnerabilities-threats/november-patch-tuesday-cornucopia-cves

Nota elaborada por Ciberseguridad en español a partir de información publicada por Dark Reading. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.