Vulnerabilidad Zero-Day para Microsoft Outlook (CVE-2026-124194)
Una vulnerabilidad Zero-Day recientemente parcheada afecta a las ediciones empresariales de Microsoft Office Outlook y ha sido reportada como explotada activamente en entornos reales por la Agencia de Seguridad Cibernética e Infraestructura de EE. UU. (CISA), la cual la incorporó a su catálogo Known Exploited Vulnerabilities (KEV) el 10 de noviembre de 2026. Identificada como CVE-2026-124194, se trata de una ausencia de interacción de usuario para acciones potencialmente inseguras (CWE-356) que permite a un atacante remoto no autenticado realizar ataques de suplantación (spoofing) y divulgación de información en sistemas con Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 y Microsoft Office LTSC 2024. En resumen, un atacante puede forzar a Outlook a conectarse silenciosamente a un servidor externo para capturar credenciales de autenticación sin alertar a la víctima.
Esta vulnerabilidad cuenta con un score base de 6.5, categorizado como severidad Media acorde al Common Vulnerability Scoring System versión 3.x de la renombrada institución FIRST; sin embargo, al tratarse de un Zero-Day con explotación activa confirmada en entornos reales, representa un riesgo crítico para la seguridad operativa de las organizaciones.
El fallo abordado durante el Patch Tuesday del 10 de noviembre de 2026 abusa del comportamiento de la interfaz de usuario (UI) de Microsoft Outlook al manejar archivos o mensajes especialmente diseñados, involucrando vectores y componentes como:
- Interfaz de advertencias de seguridad de Microsoft Outlook para contenido externo
- Conexiones de red salientes en segundo plano hacia ubicaciones remotas
- Protocolo de autenticación NTLMv2 (mecanismo de autenticación desafío-respuesta utilizado en entornos Windows)
Permitiendo omitir las alertas preventivas del cliente de correo y exponer credenciales de red. Este ataque inicia cuando un actor de amenazas envía un archivo o mensaje malicioso y engaña al usuario para que lo abra. Una vez abierto el archivo, Outlook establece una conexión silenciosa hacia una ubicación de red controlada por el atacante sin mostrar la advertencia de seguridad estándar sobre contenido externo. Durante esta conexión automática en segundo plano, el sistema Windows filtra el hash NTLMv2 del usuario (cadena criptográfica que representa las credenciales de la sesión activa). Cabe señalar que Microsoft ha precisado que el Panel de vista previa (Preview Pane) no es un vector de ataque para esta vulnerabilidad, por lo que se requiere que el usuario abra el archivo malicioso.
El alcance del impacto depende de los privilegios de la cuenta comprometida dentro de la infraestructura corporativa. Un ataque exitoso permite a los atacantes capturar los hashes NTLMv2 expuestos para realizar ataques de retransmisión de credenciales (NTLM relay) o descifrado fuera de línea (offline cracking), logrando suplantar la identidad de la víctima, obtener acceso inicial a la red interna y comprometer recursos corporativos. Para entidades federales de EE. UU., la Directiva Operativa Vinculante (BOD) 26-04 obliga a priorizar correcciones de vulnerabilidades incluidas en el catálogo KEV; la fecha límite para aplicar los parches o mitigaciones para CVE-2026-124194 es el 24 de noviembre de 2026. Las organizaciones deben asumir riesgo real hasta que sus instancias estén actualizadas y tomar medidas compensatorias mientras tanto.
Versiones Afectadas
| Productos | Versiones Afectadas | Versiones Corregidas |
|---|---|---|
| Microsoft Office LTSC 2021 | Previas a la Versión 2108 (Build Number 16.0.14334.21048) | Versión 2108 (Build Number 16.0.14334.21048) y posteriores |
| Microsoft Office LTSC 2024 (32-bit y x64) | Previas a la Versión 2408 (Build Number 16.0.17932.21140) | Versión 2408 (Build Number 16.0.17932.21140) y posteriores |
| Microsoft 365 Apps for Enterprise | Versiones anteriores a la actualización de seguridad de noviembre de 2026 | Actualización de seguridad de noviembre de 2026 y posteriores (acorde al canal de actualización) |
Recomendaciones
- Aplicar de manera inmediata el parche oficial de Microsoft correspondiente a noviembre de 2026 para CVE-2026-124194 en todos los entornos empresariales, asegurando la actualización de los canales de distribución de Microsoft Office además de los del sistema operativo.
- Actualizar Microsoft Office LTSC 2021 al Build Number 16.0.14334.21048 o superiores, y Microsoft Office LTSC 2024 al Build Number 16.0.17932.21140 o superiores.
- Bloquear el tráfico saliente SMB (puertos TCP 445 y 139) en los firewalls perimetrales para impedir la filtración de hashes NTLMv2 hacia servidores externos controlados por atacantes.
- Restringir el tráfico NTLM saliente hacia servidores remotos mediante directivas de grupo (GPO) y habilitar la firma SMB (*SMB Signing*) para mitigar ataques de retransmisión de credenciales.
- Monitorear el tráfico de red y los sistemas de detección en endpoints (EDR) en busca de conexiones salientes anómalas hacia direcciones IP externas originadas por el proceso “OUTLOOK.EXE”.
- Revisar de forma continua los registros de seguridad de autenticación de Windows para detectar intentos de inicio de sesión sospechosos o actividad anómala relacionada con el uso de credenciales NTLM.
CVEs
Taxonomía
| ID Táctica | Nombre Táctica | Técnicas Relacionadas |
|---|---|---|
| TA0001 | Initial Access | T1566.001: Phishing: Spearphishing Attachment T1078: Valid Accounts |
| TA0002 | Execution | T1204.002: User Execution: Malicious File T1203: Exploitation for Client Execution |
| TA0006 | Credential Access | T1187: Forced Authentication T1110.002: Brute Force: Password Cracking T1557.001: Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay |
| TA0005 | Defense Evasion | T1550: Use Alternate Authentication Material |
Referencias
- Abrams, L. (2026, noviembre 10). Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day. BleepingComputer. Recuperado el 12 de noviembre de 2026, en: https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2026-patch-tuesday-fixes-1-235-flaws-outlook-zero-day/
- Kovacs, E. (2026, noviembre 10). Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft. SecurityWeek. Recuperado el 12 de noviembre de 2026, en: https://www.securityweek.com/exploited-outlook-zero-day-among-1094-flaws-patched-by-microsoft/
- Winder, D. (2026, noviembre 11). Microsoft Confirms Active Exploitation Of New Outlook Zero-Day. Forbes. Recuperado el 12 de noviembre de 2026, en: https://www.forbes.com/sites/daveywinder/2026/11/11/microsoft-confirms-active-exploitation-of-new-outlook-zero-day/
- Cybersecurity and Infrastructure Security Agency [CISA]. (2026, noviembre 10). CISA Adds One Known Exploited Vulnerability to Catalog (CVE-2026-124194). CISA. Recuperado el 12 de noviembre de 2026, en: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Microsoft Security Response Center [MSRC]. (2026, noviembre 10). Microsoft Office Outlook Spoofing Vulnerability (CVE-2026-124194). Microsoft. Recuperado el 12 de noviembre de 2026, en: https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-124194
