La semana tuvo dos protagonistas. El Patch Tuesday de noviembre trae un zero-day de Outlook ya explotado (CVE-2026-124194, en el catálogo KEV de CISA) y una falla crítica de LDAP que pega en los controladores de dominio. Y el 12 de noviembre empezó una caída de Outlook y Microsoft 365 que arrastró a Teams, Copilot y Defender por más de 36 horas, por una falla de su red y no por un ataque.
También hubo cierre de ciclo: .NET 11 salió el 10 de noviembre y ese mismo día .NET 8 y .NET 9 se quedaron sin soporte. En Azure, Front Door sumó cinco novedades de seguridad y rendimiento en el borde, y en Windows hay tres problemas conocidos que conviene revisar antes de desplegar.
🔒 Seguridad y parches
Patch Tuesday: zero-day de Outlook y LDAP crítico
El Patch Tuesday de noviembre corrige 1.095 CVE de Microsoft (64 críticas) y uno solo explotado: CVE-2026-124194, una suplantación en Outlook (CVSS 6,5). Un archivo de mensaje armado hace que Outlook se conecte al servidor del atacante sin el aviso de contenido externo y le entregue el hash NTLMv2 del usuario, con el que puede autenticarse en su nombre. Está en el KEV de CISA desde el 10 de noviembre. El detalle está en la nota del MUG sobre el zero-day.
Entre las críticas, la de más impacto para empresas es CVE-2026-119958, ejecución remota de código en Windows LDAP (CVSS 9,8), el protocolo de directorio que atienden los controladores de dominio. Qué hacer: primero la actualización de Office y Microsoft 365 Apps (y bloquear SMB/NTLM saliente hacia internet), después los acumulativos de Windows empezando por los controladores de dominio.
Tres problemas conocidos de Windows para revisar antes de desplegar
- KB5132061 no se instala en equipos con Windows 11 que tenían la vista previa opcional de octubre (KB5127936): falla con 0x80070306, 0x800f0989 o 0x800f0993. Microsoft dice que se reparan solos en 24 a 48 horas, según BleepingComputer; si siguen fallando después, abrir un caso con soporte.
- SQL Server con servidores vinculados: desde las actualizaciones del 13 de octubre, las conexiones a bases externas por OLE DB (Oracle y PostgreSQL, entre otras) pueden quedar abiertas y degradar el servidor. Microsoft lo confirmó y promete una actualización fuera de ciclo en los próximos días; mientras tanto, la mitigación se pide a soporte para empresas.
- Resueltos con noviembre: el acumulativo del 10 de noviembre corrige el inicio de sesión en OWA y el correo trabado en Exchange Server on-premises que causó el parche de octubre, y el audio USB que falla desde septiembre. No hace falta desinstalar las actualizaciones de seguridad de Exchange de octubre.
SignDrop: exploit público para ser SYSTEM, sin parche
Un investigador publicó un exploit para escalar a SYSTEM abusando de la mitigación que Microsoft agregó al sistema de registros CLFS. No tiene CVE ni parche, Microsoft no lo confirmó y no hay reportes de uso en ataques reales. Qué hacer: vigilar si hay una actualización fuera de ciclo y pedirle al EDR que alerte cuando procesos privilegiados crean archivos de registro CLFS.
Turla espía servidores Exchange con «Cereal»
ESET describió Cereal, un conjunto de herramientas del grupo ruso Turla visto en dos gobiernos: se esconde como DLL que Windows carga sola, responde en rutas que parecen tráfico de OWA y Autodiscover y filtra correos con adjuntos desde el servicio de transporte. Qué hacer: cruzar los indicadores de ESET con los servidores Exchange, buscar DLL inesperadas en System32\wbem y mantener Exchange SE en la última actualización.
🪟 Microsoft 365
Caída de Outlook y Microsoft 365: Microsoft confirmó la causa
Del 12 de noviembre a las 14:54 al 14 a las 03:09 (hora argentina), muchos usuarios no pudieron abrir su correo en Outlook (Exchange Online, incidente EX1550543) y la falla alcanzó a Copilot, el calendario de Teams, Safe Links de Defender, Graph e Intune (MO1550821). Microsoft confirmó la causa: una falla que había quedado de una ampliación de capacidad de su red y salió a la luz con un cambio posterior. No fue un ciberataque ni tuvo que ver con IA. El 14 dio el servicio por restablecido para todos. El detalle, en la nota del MUG sobre la caída.
Qué hacer: no reenviar mails trabados (Microsoft extendió a 48 horas la espera del correo demorado, así que llegan solos) y esperar el informe posterior al incidente que prometió antes de tocar configuraciones locales.
☁️ Azure
Front Door: código en el borde, mTLS y límites de tráfico más finos
- Edge actions, disponible de forma general: funciones de JavaScript que corren dentro de Front Door para redirigir, reescribir encabezados o bloquear antes de llegar al origen.
- Mutual TLS, disponible de forma general en Premium: solo pasan los clientes que presentan un certificado X.509 válido.
- Validación de tokens JWT de Entra ID en el borde y soporte nativo de gRPC, en vista previa.
- WAF en vista previa: los límites de tasa ya pueden contar por país, por número de sistema autónomo o por huella TLS (JA4), no solo por IP, para frenar ataques repartidos entre muchas direcciones.
Qué hacer: con Front Door Premium, probar las reglas nuevas del WAF en modo registro antes de bloquear.
.NET 8 y 9 fuera de soporte también en Static Web Apps
Las APIs de Functions administradas de Static Web Apps en .NET 8 y 9 siguen andando, pero desde el 10 de noviembre no reciben parches. Qué hacer: cambiar apiRuntime a .NET 10 en staticwebapp.config.json, probar y volver a publicar. En paralelo, Azure Functions ya soporta .NET 11 con el modelo de proceso aislado.
🧑💻 Para devs: GitHub, VS Code, .NET
.NET 11 sale y .NET 8 y 9 quedan sin parches
.NET 11 ya está disponible, con C# 15 (tipos unión con chequeo exhaustivo), OpenAPI 3.2 por defecto en ASP.NET Core y EF Core 11. Es una versión STS, con dos años de soporte. El mismo día, .NET 8 (LTS) y .NET 9 recibieron su último parche: 10.0.15, 9.0.23 y 8.0.34 corrigen 25 CVE.
Qué hacer: inventariar apps y contenedores en .NET 8 y 9 (dotnet --list-runtimes y las imágenes mcr.microsoft.com/dotnet 8.0 y 9.0), migrarlas a .NET 10, que es LTS, y dejar .NET 11 para proyectos nuevos que actualicen todos los años.
GitHub Actions: lockfiles para que nadie mueva una versión
Con los lockfiles de workflows, gh actions-lock registra el commit exacto de cada acción y gh actions-lock --verify frena el CI si algo cambió: cierra el ataque de mover una etiqueta Git a código malicioso. Llega junto con Agentic Workflows, agentes descritos en Markdown que corren en Actions con permisos de solo lectura por defecto. Qué hacer: generar el lockfile en los repos principales y revisar cualquier agente que pida contents: write.
🤖 IA y Copilot
Una puerta trasera en menos de 10 neuronas
Investigadores de Microsoft mostraron que editar menos de 10 neuronas de un modelo abierto alcanza para que un agente ejecute el comando de un atacante cuando aparece una frase disparadora. Hace falta acceso a los pesos, así que el riesgo real son los fine-tunes y versiones cuantizadas de terceros. Qué hacer: bajar modelos solo del publicador original, verificar hashes, guardarlos en un registro privado y aislar el código que corren los agentes.
🧩 Más novedades de la semana
- IBM y Microsoft lanzan Imagine Enterprise, para construir y gobernar agentes por industria; sin precio ni fecha.
- Microsoft reportó 59 bugs del kernel de Linux hallados con IA: 33 con CVE y 8 con exploit funcional para ser root.
- Paint: el arreglo de
CVE-2026-83844(CVSS 8,1) llega solo por la Microsoft Store. - SQL Managed Instance suma monitoreo de rendimiento administrado, en vista previa.
- AKS prueba una caché distribuida sobre discos NVMe para cargar modelos y datos.
- Precios de la nube 2027: ajustes en monedas locales desde el 1 de enero; el dólar no cambia y el real se revisa aparte.
- GitHub explicó sus ocho incidentes de octubre.
- Hyperlight ya corre programas de Linux sin cambios en micro-VMs aisladas.
¿Ya saben qué servidores siguen en .NET 8?
Entre el zero-day de Outlook, el fin de soporte de .NET 8 y 9 y los problemas conocidos de Windows, hay tarea para toda la semana. ¿Por dónde arrancaron? Los leemos en los comentarios.
Fuentes
- MSRC: November 2026 Security Updates.
- MSRC: CVE-2026-124194.
- Windows release health: Windows Server 2025 known issues.
- Microsoft Support: KB5131080.
- @MSFT365Status: EX1550543 y MO1550821.
- @MSFT365Status: la causa de la caída.
- @MSFT365Status: servicio restablecido.
- ESET: Turla’s Cereal.
- .NET Blog: Announcing .NET 11.
- .NET Blog: November 2026 servicing updates.
- Azure Updates: Front Door edge actions.
- Azure Updates: Front Door WAF rate limit grouping.
- Azure Updates: .NET 8 and 9 retirement on Static Web Apps.
- GitHub Changelog: workflow lockfiles.
- Microsoft Security Blog: sleeper agents in model neurons.
- Microsoft Security Blog: Lessons from 59 Linux kernel bug reports.
- Microsoft Source: IBM and Microsoft AI agent platform.
