Microsoft corrige un fallo de Outlook ya explotado
Microsoft ha corregido un fallo de Outlook que ya se usaba para robar credenciales. Qué hace el CVE-2026-124194 y qué debe actualizar su oficina.
Microsoft publicó el martes 10 de noviembre de 2026 sus actualizaciones de seguridad mensuales, y una de ellas corrige un fallo de Outlook que los atacantes ya estaban aprovechando. Se identifica como CVE-2026-124194. Si en su empresa usan Outlook en Windows, como ocurre en la mayoría de las oficinas con Microsoft 365, esta es la actualización que conviene confirmar esta misma semana.
Qué hace el fallo de Outlook
Microsoft lo clasifica como una vulnerabilidad de suplantación (spoofing). Según BleepingComputer, el atacante envía un archivo de mensaje manipulado y convence a alguien de abrirlo en Outlook. Outlook se conecta entonces a un servidor del atacante sin mostrar el aviso habitual sobre contenido externo y, al hacerlo, entrega el hash NTLMv2 del usuario, una forma cifrada de sus credenciales de inicio de sesión de Windows.
SecurityWeek informa de que Microsoft le asigna una gravedad "moderada", con una puntuación CVSS de 6,5; que no puede activarse desde el panel de vista previa, y que afecta, entre otros, a Microsoft 365 Apps para empresas, Office LTSC 2021 y Office LTSC 2024. Microsoft confirma que se ha explotado, pero su aviso no da detalles de los ataques. El fallo no era público antes de la corrección.
Por qué importa aunque sea "moderado"
La calificación se debe a que alguien tiene que abrir el archivo. En una oficina pequeña eso no es gran obstáculo: basta un correo creíble con un adjunto que parezca una factura o un mensaje de voz. Con un hash NTLMv2 robado se puede iniciar sesión como esa persona en sistemas que aún aceptan NTLM y, si la contraseña es débil, a menudo se puede descifrar sin conexión. Un solo clic puede acabar dando acceso a carpetas compartidas, a un servidor o a otros equipos de la red.
El resto de la actualización de noviembre
Es una entrega enorme: BleepingComputer cuenta 1.235 fallos y SecurityWeek 1.094, según cómo los contabiliza cada medio. SecurityWeek destaca correcciones críticas para Windows 10 y 11, Windows Server 2016 a 2025, Office, Exchange Server Subscription Edition y Edge. BleepingComputer menciona fallos críticos en los Servicios de dominio de Active Directory, algo relevante si su empresa tiene su propio controlador de dominio. Además, son las últimas actualizaciones para las ediciones Enterprise y Education de Windows 11 versión 23H2.
Qué hacer esta semana
- Actualice Office en todos los equipos. Microsoft 365 Apps suele actualizarse sola, pero no siempre a tiempo. En Outlook, vaya a Archivo, Cuenta de Office, Opciones de actualización, Actualizar ahora, y reinicie Outlook. Revise también los PC que casi no se usan o no se reinician.
- Instale las actualizaciones de Windows en equipos de escritorio, portátiles y servidores, y reinícielos. Si las gestiona de forma centralizada, compruebe el informe en lugar de dar por hecho que se instalaron.
- Recuerde al personal que desconfíe de adjuntos inesperados, sobre todo archivos de mensaje (.msg o .eml) y cualquier cosa que llegue como "copia de un correo". Ante la duda, que pregunten antes de abrir.
- Bloquee el tráfico SMB saliente en el firewall (puerto TCP 445 hacia internet) si aún no lo está. Este tipo de ataque suele depender de que el PC se conecte al servidor del atacante.
- Use contraseñas largas y únicas en las cuentas de Windows y Microsoft 365, para que un hash robado sea mucho más difícil de descifrar.
- Si alguien abrió hace poco un archivo sospechoso, cambie su contraseña y revise los inicios de sesión recientes de esa cuenta.
A principios de mes explicamos otra vía de entrada a las cuentas de Microsoft 365 en nuestro artículo sobre ataques de reutilización de tokens que la MFA no detuvo. En nuestras páginas de gestión de parches y de seguridad del correo y phishing verá cómo mantenemos al día las actualizaciones y la protección del correo en pequeñas empresas. Si no está seguro de que su oficina esté actualizada, llame al (213) 986-4855.