Microsoft lanzó el Patch Tuesday de noviembre de 2026 con una cifra que marca un récord reciente: 1,093 vulnerabilidades de seguridad corregidas en un solo mes, de las cuales 63 son críticas. La actualización llega en la misma semana en que Apple, Google, Mozilla y Adobe también publicaron parches, en una de las jornadas de seguridad más intensas del año.
Del total, 535 fallos permiten la elevación de privilegios, es decir, que un atacante con acceso limitado a un equipo pueda obtener control total sobre él. Es el tipo de vulnerabilidad más numeroso de esta entrega, por encima de los errores de ejecución remota de código y de divulgación de información.
Una sola vulnerabilidad ya se explota en ataques reales
De las más de mil correcciones, solo una se estaba explotando activamente al momento de publicarse el parche: CVE-2026-124194, un fallo de suplantación de identidad (spoofing) en Microsoft Outlook que permite falsificar el remitente de un correo. El error afecta a Microsoft 365 Apps for Enterprise y a las ediciones de Office, por lo que Microsoft recomienda actualizar cuanto antes, sobre todo en equipos de trabajo. La protección de los datos en Microsoft 365 es hoy una prioridad para las empresas, y este parche refuerza esa necesidad.
En el ámbito empresarial, los servidores de correo siguen siendo un objetivo prioritario para los atacantes, como muestra el reciente caso de espionaje en servidores Exchange con el malware Cereal.
El mes más grande del año… y no es el único
La cifra de noviembre es la segunda mayor del año: en octubre, Microsoft corrigió más de 1,400 vulnerabilidades en un mes, lo que elevó su acumulado de 2026 a más de 5,100 fallos parchados.
Los usuarios de Windows 11 reciben la actualización a través de Windows Update, y conviene instalarla cuanto antes: los parches de noviembre suelen ser analizados por los atacantes en cuestión de días para crear exploits. En materia de seguridad del arranque, también se ha detectado recientemente BlackX, un bootkit que evade Secure Boot incluso en Windows actualizado.
No solo Microsoft: Apple, Chrome, Firefox y Adobe también parchan
Apple lanzó el lunes una actualización fuera de ciclo que corrige al menos nueve vulnerabilidades en iOS, iPadOS, macOS, watchOS y visionOS, incluidos fallos en iMessage; la compañía también publicó parches para iOS 18, por lo que los usuarios de iPhone y iPad deben instalar la versión 27.2.1.
Google publicó Chrome 157.0.8103.50, que corrige nueve agujeros, incluido CVE-2026-125350, el sexto día cero de Chrome en lo que va del año; Microsoft Edge, basado en Chromium, también recibió la corrección. Mozilla lanzó Firefox 160, con casi 100 CVE, y Adobe corrigió al menos 110 vulnerabilidades.
El panorama: 95,000 CVE publicados en 2026
Según Ivanti, este año ya se han publicado 95,000 CVE en todos los fabricantes, pero solo 217 han entrado en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la agencia de ciberseguridad de Estados Unidos (CISA). Cerca de 4 de cada 10 vulnerabilidades explotadas están en sistemas operativos, endpoints, navegadores y servidores, y el 44 % en dispositivos perimetrales.
Como resume Lee Neely, instructor de SANS, lo que parece un gran número de vulnerabilidades es en realidad un porcentaje pequeño de todo lo que existe. La clave, insiste, es priorizar: actualizar primero lo que está expuesto a internet y lo que ya se explota en ataques reales.
Mientras tanto, la suite ofimática de Microsoft enfrenta nueva competencia con Claude Sheets de Anthropic, y Microsoft sigue impulsando la inteligencia artificial en las PC con Windows, de la mano de NVIDIA.
Qué hacer ahora
Instala las actualizaciones de Windows y Office cuanto antes, revisa que tu navegador y tus aplicaciones de Adobe y Mozilla estén al día y, si aún no lo haces, haz una copia de seguridad de tus archivos importantes. Un respaldo actualizado es la mejor defensa si un ataque logra cifrar o borrar tus datos.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx. Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: Krebs on Security