Microsoft corrige 1,235 fallas en noviembre, entre ellas un zero-day de Outlook que roba hashes NTLM

Es otra cifra récord tras las 1,411 de octubre. La falla de Outlook dejaba capturar credenciales cuando el usuario abría un archivo de mensaje manipulado, según Microsoft.

Microsoft publicó el 10 de noviembre de 2026 las actualizaciones de seguridad de su Patch Tuesday, con 1,235 vulnerabilidades corregidas, entre ellas una de suplantación en Outlook que ya se explotaba en ataques, informó BleepingComputer.

Del total, 66 son críticas: 48 de ejecución remota de código, 15 de elevación de privilegios y tres de uso de memoria liberada en Microsoft Edge. Unas 639 corresponden a Windows y sus componentes. La cifra llega después del récord de 1,411 fallas de octubre; según BleepingComputer, Microsoft usa IA para encontrar y corregir vulnerabilidades.

La falla de Outlook se explotaba para robar hashes de cuentas NTLM. «Un atacante no autenticado podría enviar un archivo de mensaje especialmente diseñado y convencer a un usuario de abrirlo en una versión afectada de Microsoft Outlook», advirtió Microsoft. Al abrirlo, Outlook se conecta a una ubicación de red del atacante sin mostrar la advertencia habitual de contenido externo, lo que puede exponer el hash NTLMv2 del usuario para descifrarlo fuera de línea.

Otros fabricantes publicaron parches en los mismos días: SAP corrigió cuatro fallas de severidad máxima, Ivanti dos fallas de Connect Secure encadenadas en ataques desde el 1 de octubre y SonicWall siete vulnerabilidades de SonicOS, una de ellas explotada.

Fuente: BleepingComputer: «Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day», 10 de noviembre de 2026.