VULNERABILIDAD
Microsoft Outlook: explotación activa de una falla zero-day que expone credenciales NTLMv2
La CVE-2026-124194 permite que un archivo de mensaje manipulado haga que Outlook se conecte a un servidor del atacante sin aviso y filtre material de autenticación. Microsoft confirmó su explotación y la CISA la sumó a su catálogo de fallas explotadas.
Microsoft confirmó la explotación en ataques reales de la vulnerabilidad CVE-2026-124194 en Microsoft Outlook, incluida en el paquete de actualizaciones de noviembre de 2026. La falla fue clasificada como spoofing, con una puntuación CVSS 3.1 de 6,5, considerada de severidad media.
El comportamiento reportado indica que, al abrir un archivo de mensaje especialmente preparado en una versión vulnerable de Outlook, la aplicación puede establecer una conexión con un servidor controlado por el atacante sin mostrar el aviso de seguridad habitual para contenido externo. Esa conexión puede exponer material de autenticación NTLMv2 del usuario.
La CISA incluyó la CVE-2026-124194 en su catálogo de vulnerabilidades explotadas conocidas el 10 de noviembre de 2026 y fijó el 24 de noviembre como plazo de tratamiento para organismos federales civiles de Estados Unidos sujetos a sus directivas.
El JPCERT/CC difundió el 11 de noviembre de 2026 un alerta sobre la falla y recomendó aplicar las correcciones, en línea con la recomendación de la agencia estadounidense.
Cómo ocurrió
- Confirmado
- CVE-2026-124194Falla de spoofing en OutlookConfirmado.
- Abre archivoArchivo de mensaje manipuladoConfirmado.
- Conexión externaOutlook contacta servidor atacanteConfirmado.
- Fuga NTLMv2Expone material de autenticaciónConfirmado.
MicrosoftConfirma explotación realConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Microsoft confirmó que la CVE-2026-124194 fue explotada en ataques reales antes de la divulgación de la corrección.
- La CISA agregó la vulnerabilidad a su catálogo de fallas explotadas conocidas el 10 de noviembre de 2026.
- La CISA fijó el 24 de noviembre de 2026 como plazo de tratamiento para órganos federales civiles estadounidenses alcanzados por sus directivas.
- El JPCERT/CC emitió un alerta el 11 de noviembre de 2026 y recomendó aplicar las correcciones.
SIN VERIFICAR O ABIERTO
- No se detalló públicamente la identidad de los responsables de la explotación.
- No se informó la cantidad de víctimas ni los sectores afectados.
- No se precisó el alcance geográfico de los ataques confirmados.
- No se indicó si la falla fue utilizada antes de que Microsoft publicara el parche.
Contexto
La clasificación técnica de la falla es CWE-356, que se aplica cuando la interfaz de un producto deja de advertir al usuario sobre una operación potencialmente insegura. El punto central no es una ejecución remota de código demostrada en Outlook, sino la posibilidad de inducir al programa a realizar una conexión que debería requerir mayor transparencia y control.
La confirmación de explotación en entorno real cambia la prioridad operativa: la existencia de ataques verificados debe pesar más en la decisión de corrección que la lectura aislada de una puntuación CVSS media. El plazo fijado por la CISA no constituye una obligación legal general para empresas de la región, pero sirve como referencia de la urgencia atribuida al problema.
El episodio se suma a otros incidentes recientes que afectaron productos de Microsoft, como el robo de tokens de Microsoft Office mediante la intrusión en roteadores y una falla en Hyper-V que permitió ataques contra Azure, con parches distribuidos en mayo pero sistemas desactualizados aún expuestos.
Qué hacer
- Aplicar las actualizaciones Instalar el paquete de actualizaciones de noviembre de 2026 de Microsoft y verificar que Outlook quede en la versión corregida.
- Revisar equipos expuestos Identificar puestos con Outlook vulnerable y priorizar su corrección, sobre todo si reciben archivos de mensaje de remitentes externos.
- Desconfiar de adjuntos Evitar abrir archivos de mensaje inesperados o de remitentes desconocidos, ya que son el vector descrito para la explotación.
- Rotar credenciales Si se sospecha una conexión no autorizada desde Outlook, cambiar contraseñas y revisar sesiones y accesos activos de las cuentas afectadas.
- Monitorear autenticaciones Vigilar intentos de autenticación NTLM anómalos hacia servidores externos y reforzar las restricciones de salida de la red.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
