Microsoft corrigió en el Patch Tuesday del 10 de noviembre una vulnerabilidad de Outlook que ya se está usando en ataques: alcanza con que un usuario abra un archivo de mensaje armado para que Outlook le entregue al atacante una versión cifrada de su contraseña. Es la CVE-2026-124194 y afecta a Microsoft 365 Apps for Enterprise y a Office LTSC 2021 y 2024.
Ese mismo día CISA, la agencia de ciberseguridad de Estados Unidos, la sumó a su catálogo de vulnerabilidades explotadas y les dio a las agencias federales hasta el 24 de noviembre para parchearla.
Qué hace la falla
Según el aviso de Microsoft, el atacante manda un archivo de mensaje preparado y convence al usuario de abrirlo en Outlook. Al abrirlo, Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar la advertencia de contenido externo que normalmente aparece en esos casos.
En esa conexión, Windows intenta autenticarse solo, con las credenciales del usuario, y le entrega al servidor del atacante su hash NTLMv2. Microsoft lo dice así: el hash filtrado puede usarse para autenticarse como ese usuario.
La vista previa de Outlook no dispara el ataque: hace falta que la persona abra el archivo. Por eso la vía más probable es la de siempre, un adjunto en un correo de phishing con un pretexto creíble.
Qué es NTLM y por qué un hash alcanza
NTLM es un protocolo de autenticación de Windows que sigue activo en muchas redes por compatibilidad, aunque Microsoft ya anunció que lo va a ir apagando. Cuando una computadora se conecta a un recurso de red que lo pide, responde con un valor calculado a partir de la contraseña del usuario: eso es el hash NTLMv2.
Con ese valor un atacante tiene dos caminos:
- Descifrarlo sin conexión, probando contraseñas a gran velocidad en su propio equipo. Si la contraseña es débil o conocida, aparece.
- Reenviarlo en el momento (lo que se conoce como NTLM relay) a otro servidor de la red que acepte NTLM, y entrar ahí con la identidad del usuario sin conocer nunca la contraseña.
Si el usuario que abrió el archivo es administrador, o tiene acceso a sistemas sensibles, el alcance crece en la misma medida.
Severidad «moderada», pero ya explotada
Microsoft la clasifica como Moderate, con un CVSS de 6.5 sobre 10 (la escala estándar de severidad), porque necesita que el usuario haga algo. Al mismo tiempo la marca como «Exploitation Detected»: ya la vio usada en ataques reales, antes de que existiera el parche.
Esa combinación es la que conviene mirar. En un mes con más de mil vulnerabilidades corregidas (BleepingComputer contó 1.235, un récord), el puntaje sirve de poco para decidir qué va primero; que alguien ya la esté usando, sí. Es la única vulnerabilidad de este Patch Tuesday con explotación confirmada.
Microsoft la acredita a Benoît Sevens, «usando Claude con Anthropic», y a un investigador que firma como «nono». No hay detalles públicos sobre quién la explotó ni contra quién.
Qué versiones la corrigen
Según las notas de seguridad de Microsoft 365 Apps del 10 de noviembre, las compilaciones corregidas son:
- Current Channel: versión 2610, compilación
20527.20196. - Monthly Enterprise Channel: 2610 (
20527.20194), 2609 (20430.20264) o 2608 (20326.20320). - Semi-Annual Enterprise Channel: 2610 (
20527.20192), 2609 (20430.20262) o 2608 (20326.20318). - Office LTSC 2024 por volumen:
16.0.17932.21140. - Office LTSC 2021 por volumen:
16.0.14334.21048.
Office se actualiza por su propio canal (Click-to-Run), no por el acumulativo de Windows. Una PC con Windows al día puede seguir con un Outlook vulnerable si las actualizaciones de Office están frenadas o diferidas por política.
Qué hacer
- Llevar Microsoft 365 Apps y Office LTSC a las compilaciones de arriba y verificar la versión en Intune, Configuration Manager o el inventario que usen, sin dar por hecho que se actualizaron solas.
- Bloquear en el firewall perimetral y en la VPN el tráfico SMB saliente a internet (puerto TCP 445). Es lo que Microsoft recomendó en 2023 para
CVE-2023-23397, otra falla de Outlook que filtraba el mismo hash. Microsoft no detalla qué protocolo usa esta conexión, así que es una capa más, no un reemplazo del parche. - Sumar al grupo Protected Users de Active Directory a las cuentas con privilegios: a sus miembros Windows no les permite autenticarse con NTLM.
- Revisar en los registros del firewall o del EDR conexiones salientes de estaciones de trabajo hacia direcciones externas desconocidas. Si aparece alguna desde la PC de un usuario que abrió un adjunto raro, cambiarle la contraseña.
¿Saben en qué compilación está el Office de su empresa?
Office suele quedar afuera del ciclo de parches porque se actualiza aparte de Windows. ¿Tienen hoy un reporte que les diga cuántas PCs siguen en una compilación anterior al 10 de noviembre? Te leemos en los comentarios.
Fuentes
- Microsoft: CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability
- Microsoft: Release notes for Microsoft 365 Apps security updates
- Microsoft: November 2026 Security Updates
- CISA: Known Exploited Vulnerabilities Catalog
- Microsoft: guía de mitigación de CVE-2023-23397 (marzo de 2023)
- BleepingComputer: Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day
