Parches de Noviembre 2026: la Falla de Outlook que Ya se Explota y Qué Revisar

El martes 10 de noviembre de 2026 Microsoft publicó su paquete mensual de parches: 1,235 fallas corregidas, 66 de ellas críticas, según el conteo de BleepingComputer. Una ya se usa en ataques reales: una falla de Outlook que le entrega credenciales de Windows a quien manda un mensaje preparado. La misma semana, la agencia de ciberseguridad de Estados Unidos (CISA) agregó a su lista de fallas explotadas un acceso sin contraseña en OpenSSH, una VPN que permitía saltarse la verificación en dos pasos y WordPress.

Si en tu empresa los parches se instalan "cuando se puede", este es el mes para cambiar la costumbre. Abajo va qué instalar primero, qué más revisar y por qué el ritmo de los parches se aceleró.

Resumen ejecutivo

• Instala primero el parche de noviembre de Office y Windows: la falla de Outlook CVE-2026-124194 ya se explota.
• La CISA dio a las agencias federales de Estados Unidos hasta el 24 de noviembre para corregirla. Úsalo también como tu fecha límite.
• Si tienes servidores Linux con SSH abierto a internet, una VPN SSL o un sitio en WordPress, revisa sus versiones esta semana.
• La IA está acelerando el hallazgo de fallas: el equipo de OpenSSH ya anunció versiones más frecuentes por esa razón.
• Un equipo con Windows 10 fuera de las actualizaciones extendidas no recibe los parches de Windows de este mes.

¿Qué es la falla de Outlook y por qué va primero?

Es la CVE-2026-124194. Al abrir un mensaje preparado, Outlook se conecta a un servidor del atacante sin mostrar la advertencia de contenido externo y le entrega información de autenticación de Windows, el llamado hash NTLM. Va primero porque ya se explota y basta con que una persona abra un correo.

Con ese hash, un atacante puede intentar descifrar la contraseña o reutilizarlo para entrar a otros servicios de tu red que acepten ese tipo de autenticación. Microsoft la publicó en su guía de actualizaciones de seguridad y la CISA la agregó el mismo 10 de noviembre a su catálogo de vulnerabilidades explotadas, con plazo al 24 de noviembre para las agencias de su gobierno.

Además del parche, hay una medida de higiene que reduce el daño de toda esta familia de fallas: que tu firewall no deje salir hacia internet el tráfico de archivos compartidos de Windows (SMB, puerto 445). Ningún equipo de oficina necesita compartir archivos con un servidor desconocido en internet.

¿Qué más se está explotando este mes?

Entre el 3 y el 10 de noviembre la CISA agregó 13 fallas explotadas a su catálogo. Para una empresa mediana en México, cinco importan más porque están en equipos comunes: Outlook, OpenSSH en servidores Linux, una VPN SSL de un fabricante de firewalls, WordPress y Chrome. Esta es la lista con lo que toca hacer en cada una:

Falla	Qué afecta	En el catálogo de la CISA	Qué hacer
Outlook (CVE-2026-124194)	Office y Outlook en cualquier equipo	10 nov	Parche de noviembre de Office; bloquear SMB saliente en el firewall
OpenSSH (CVE-2026-123158)	Servidores Linux con acceso por contraseña; el aviso de Alpine Linux detalla qué instalaciones	9 nov	Actualizar el paquete de OpenSSH y reiniciar el servicio; mientras, desactivar el acceso por contraseña
VPN SSL con inicio de sesión SAML (CVE-2026-19868)	Un modelo de firewall cuya VPN permitía saltarse el MFA	6 nov	Aplicar el aviso del fabricante y revisar los accesos de las últimas semanas
WordPress (CVE-2026-119977)	Sitios WordPress 4.7 a 7.1.3, durante una actualización del núcleo	3 nov	Actualizar a 7.1.4 o posterior
Chrome (CVE-2026-125350)	El navegador en cualquier equipo	10 nov	Cerrar y volver a abrir Chrome para que se aplique la actualización

La de OpenSSH merece una línea aparte. Según el aviso de Alpine Linux del 5 de noviembre, en las instalaciones afectadas un atacante que alcanza el puerto SSH entra sin contraseña en un solo intento. Si tienes un servidor Linux con SSH expuesto a internet y no sabes con qué distribución está hecho, esa es la pregunta para tu proveedor hoy.

¿Por qué los parches ya no pueden esperar al trimestre?

Porque la IA está encontrando fallas más rápido. El equipo de OpenSSH escribió el 5 de noviembre que recibe muchos reportes hechos con IA y que fallas halladas así las redescubren otros investigadores por su cuenta; por eso publicará versiones con más frecuencia. Si los defensores encuentran más fallas, los atacantes con herramientas parecidas también.

Lo dicen las notas de OpenSSH 10.6p2, y los números de Microsoft van en la misma dirección: es el segundo mes seguido con más de mil fallas corregidas, después de las 1,411 de octubre que reportó BleepingComputer. Las empresas de IA ya venden modelos dedicados a buscar vulnerabilidades, por ahora solo a organizaciones verificadas; lo explicamos en nuestro análisis de Fable 5.2 y Mythos 5.2.

Mi postura: el ciclo mensual es el mínimo para todo, y las fallas que ya se explotan se atienden en días, no en el siguiente ciclo. Lo vimos con el ransomware: la puerta de entrada más común sigue siendo un parche que nadie instaló, como contamos en el parche pendiente como puerta de entrada.

¿Qué pasa con los equipos que todavía tienen Windows 10?

Un equipo con Windows 10 que no está inscrito en las actualizaciones extendidas de seguridad (ESU) no recibe los parches de Windows de noviembre. Los inscritos los recibieron el 10 de noviembre como la actualización KB5131096. Office se actualiza aparte, pero la falla del sistema operativo queda abierta.

La nota de BleepingComputer sobre la KB5131096 confirma que trae las correcciones de este mes. Si no sabes cuántos equipos con Windows 10 quedan en tu empresa, ese inventario es el primer pendiente; lo explicamos en Windows 10 y Office sin parches: qué hacer y en cómo llevar el inventario de licencias.

¿En qué orden lo reviso esta semana?

Primero lo que ya se explota y está en todos los equipos, después lo que está expuesto a internet y al final lo que depende de un proveedor. En la práctica son cinco pasos que una persona de TI o tu proveedor de soporte puede cerrar en pocos días:

1. Parche de noviembre de Office y Windows en todos los equipos, y una lista de los que no lo recibieron.
2. Firewall: confirmar que SMB (puerto 445) no sale hacia internet.
3. Lo expuesto: VPN, servidores con SSH y el sitio web. Versión instalada contra versión corregida.
4. Navegadores: que Chrome y Edge se reinicien para aplicar su actualización.
5. Registro: quién instaló qué y cuándo. Sin ese registro, la próxima falla vuelve a empezar desde cero.

Si el paso 3 te genera dudas, no es un mal síntoma: la mayoría de las empresas medianas no tiene una lista de lo que expone a internet. Hacerla una vez y mantenerla vale más que cualquier herramienta nueva.

Qué hacer si no sabes en qué estado estás

Si hoy no puedes decir cuántos equipos ya tienen el parche de noviembre ni qué servicios de tu empresa se ven desde internet, empieza por ahí. Agenda una evaluación de ciberseguridad en scram.com.mx: revisamos parches, exposición a internet, accesos y respaldo, y te entregamos la lista de pendientes en orden de riesgo.

Para el panorama completo, lee la guía de ciberseguridad para empresas en México, el checklist de ciberseguridad para pymes y, para cerrar la puerta de las contraseñas robadas, MFA y gestión de contraseñas.