Día cero de Outlook CVE-2026-124194: parche (nov 2026)

¿Qué es el día cero de Outlook CVE-2026-124194?

CVE-2026-124194 es una vulnerabilidad de suplantación en Microsoft Outlook que los atacantes explotaron antes de que existiera una corrección; Microsoft la parcheó el 10 de noviembre de 2026 ^[1][2].

La Guía de actualizaciones de seguridad de Microsoft indica el fallo como «Explotación detectada» y dice que no se divulgó públicamente antes del parche ^[1]. Su tipo de debilidad es CWE-356, lo que significa que el producto no advierte al usuario antes de una acción insegura ^[1][6].

En términos sencillos, Outlook debería mostrar una advertencia antes de obtener contenido de una ubicación de red externa. Con este error, un archivo de mensaje especialmente manipulado podía hacer que Outlook se conectara a un servidor controlado por el atacante sin mostrar esa advertencia ^[1][2].

Fue el único día cero explotado activamente en la publicación de noviembre de 2026 de Microsoft, según BleepingComputer y SecurityWeek ^[2][3]. Microsoft reconoció a un investigador conocido como «nono» y a Benoît Sevens por haberlo notificado ^[3].

Se trata de un fallo de seguridad, no de una caída del servicio.

¿Cómo funciona la fuga del hash NTLM de Outlook?

El atacante envía un archivo de mensaje manipulado; si la víctima lo abre en un Outlook afectado, Windows puede intentar iniciar sesión en el servidor del atacante y entregar el hash NTLMv2 del usuario ^[1][2].

1. Entrega: el atacante envía por correo, o comparte de otro modo, un archivo de mensaje malicioso ^[1].
2. Acción del usuario: la víctima abre el archivo en Outlook. Microsoft dice que el panel de lectura no es un vector de ataque, por lo que hace falta un clic para abrirlo ^[1].
3. Conexión oculta: Outlook se conecta a una ubicación de red controlada por el atacante sin la advertencia habitual de contenido externo ^[1].
4. Envío del hash: Windows intenta autenticarse automáticamente, lo que expone el hash NTLMv2 del usuario ^[1][2].
5. Abuso: el atacante puede intentar descifrar el hash sin conexión o usarlo para autenticarse como el usuario ^[1][2].

NTLM es un protocolo de inicio de sesión más antiguo de Windows. Un hash no es la contraseña en sí, pero BleepingComputer dice que un hash NTLMv2 capturado podría descifrarse sin conexión ^[2], y Microsoft señala que NTLM es vulnerable a ataques de retransmisión SMB, de intermediario y de fuerza bruta ^[9]. BleepingComputer también señaló que fallos similares de fuga de NTLM se han explotado antes mediante archivos adjuntos maliciosos en campañas de phishing ^[2].

El aviso de Microsoft no da detalles sobre quién fue atacado ni con qué amplitud ^[3].

¿Qué versiones de Outlook están afectadas y cuáles son las compilaciones corregidas?

Microsoft indica como afectados Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024, tanto en ediciones de 32 bits como de 64 bits ^[1][5].

La publicación de seguridad de Office de noviembre de 2026 salió el 10 de noviembre y abarca cada canal de actualización ^[5]. Microsoft enumera CVE-2026-124194 en la sección de Outlook de esa publicación ^[5]. La tabla siguiente muestra las compilaciones corregidas tal como las indica Microsoft para cada canal y versión. Compare su compilación con la fila que corresponda a su canal y versión.

Para averiguar su compilación, abra Archivo y después Cuenta de Office (o Cuenta) en una aplicación de Office; la sección Información del producto muestra el nombre del producto y, en algunos casos, el número de versión completo, y el botón Acerca de de la aplicación muestra la versión completa ^[10]. Para instalar la actualización, elija Opciones de actualización y después Actualizar ahora ^[8]. Si falta Opciones de actualización y solo aparece un botón Acerca de, su copia tiene licencia por volumen o la administra su organización, así que use Microsoft Update o póngase en contacto con su servicio de asistencia ^[8].

SecurityWeek enumeró los mismos tres productos afectados ^[3]. El aviso de Microsoft indica como afectados solo productos de Office y remite a las notas de la publicación de seguridad de Office para la corrección, de modo que una actualización acumulativa de Windows no es la solución ^[1][5].

¿Qué gravedad tiene el día cero de Outlook?

Microsoft lo califica como Moderado, con una puntuación base CVSS 3.1 de 6,5, pero merece una actuación rápida porque los ataques ya se están produciendo ^[1][3][4].

El vector CVSS muestra que se requiere la interacción del usuario (el usuario debe abrir un archivo), con un impacto alto en la confidencialidad y sin impacto en la integridad ni en la disponibilidad ^[1].

Tres hechos elevan la urgencia práctica más allá de la puntuación:

• Explotación confirmada: Microsoft lo marcó como explotado, y CISA lo añadió al catálogo de vulnerabilidades explotadas conocidas el 10 de noviembre de 2026 ^[1][4].
• Robo de credenciales: Microsoft dice que el hash filtrado podría usarse para autenticarse como el usuario ^[1], y señala que NTLM es vulnerable a ataques de retransmisión y de fuerza bruta ^[9].
• Entrega por phishing: BleepingComputer dice que fallos NTLM similares se explotaron antes mediante archivos adjuntos maliciosos en campañas de phishing ^[2].

CISA dio a las agencias civiles federales de EE. UU. hasta el 24 de noviembre de 2026 para aplicar la corrección ^[4]. CISA dice que se desconoce si grupos de ransomware han utilizado el fallo ^[4]. JPCERT/CC, en Japón, también emitió una alerta instando a los usuarios a aplicar las actualizaciones ^[6].

¿Cómo protegerse de CVE-2026-124194?

Instale primero la actualización de Office de noviembre de 2026; el aviso de Microsoft indica la actualización como la solución y no ofrece ninguna medida alternativa por separado ^[1][5]. Después, considere los pasos de refuerzo general siguientes ^[7][9].

1. Actualice Office: en Outlook elija Archivo, Cuenta de Office, Opciones de actualización, Actualizar ahora, o distribuya la actualización mediante sus herramientas de administración ^[5][8].
2. Confirme la compilación: compare la compilación que muestra Outlook con la lista de Microsoft para su canal ^[5].
3. Bloquee el tráfico SMB saliente: la guía general de SMB de Microsoft aconseja bloquear el puerto TCP 445 saliente hacia internet en el cortafuegos corporativo, y dice que es poco probable que lo necesite salvo que lo exija una oferta de nube pública como Azure Files u Office 365 ^[7]. Es defensa en profundidad, no una medida alternativa que Microsoft indique para este fallo.
4. Proteja los portátiles: Microsoft recomienda reglas de cortafuegos salientes en los portátiles para redes públicas, porque reducen los ataques de phishing que llevan a los usuarios a servidores maliciosos para recopilar credenciales ^[7].
5. Restrinja el NTLM saliente: la directiva de Windows «Seguridad de red: restringir NTLM: tráfico NTLM saliente a servidores remotos» puede auditar o denegar el NTLM saliente; Microsoft aconseja seleccionar primero Auditar todo y revisar el registro ^[9].
6. Tenga cuidado con los archivos de mensaje: no abra archivos adjuntos de mensaje inesperados, ni siquiera de contactos conocidos.

Como un hash capturado puede descifrarse sin conexión ^[2], una contraseña larga y única es la mejor defensa. Consulte la guía de Pouyam Password Managers Explained: How They Work and Whether They Are Safe.

¿Qué debe hacer si abrió un archivo de mensaje sospechoso?

Como precaución general, cambie la contraseña de la cuenta de Windows o de trabajo con la que había iniciado sesión y avise a su equipo de TI para que revise los registros de inicio de sesión.

El aviso de Microsoft dice que el fallo revela el hash NTLMv2 del usuario, que podría usarse para autenticarse como el usuario ^[1]; no da pasos para quienes ya hayan abierto un archivo así. Un hash capturado se deriva de la contraseña antigua, así que con una contraseña nueva ese hash deja de coincidir con la cuenta.

• Infórmelo: comunique al personal de TI o de seguridad la hora a la que abrió el archivo y quién lo envió.
• Conserve el correo: no lo elimine; ayuda a los investigadores a encontrar a otros destinatarios.
• Revise los inicios de sesión: los administradores pueden revisar la actividad de la cuenta en busca de ubicaciones o dispositivos desconocidos.
• Use la autenticación multifactor: hace que una contraseña descifrada sea menos útil para iniciar sesión en servicios en línea, aunque no puede impedir que un atacante intente descifrar el hash.

Los administradores que configuren la directiva de NTLM saliente en modo de auditoría verán los intentos registrados en el registro operativo de NTLM, que identifica los servidores que reciben solicitudes de autenticación NTLM del dispositivo ^[9]. Para los usuarios domésticos, los pasos son más sencillos: actualice Office, cambie su contraseña si abrió un archivo extraño y active el inicio de sesión en dos pasos. La guía de Pouyam Two-Factor Authentication Explained: Which 2FA Method Is Safest? compara las opciones.

¿Qué más corrigió Microsoft en el Patch Tuesday de noviembre de 2026?

La publicación de noviembre de 2026 de Microsoft corrigió más de 1.000 vulnerabilidades, pero los medios las contaron de forma distinta: SecurityWeek informó de 1.094 y BleepingComputer de 1.235 ^[2][3].

Ninguno de los dos medios explica del todo la diferencia. BleepingComputer dice que su total excluye 108 fallos corregidos a principios de mes ^[2], mientras que SecurityWeek ofrece un desglose por producto y menciona además 165 CVE de terceros que Microsoft volvió a publicar ^[3]. BleepingComputer dijo que 66 de los fallos se calificaron como Críticos ^[2]. SecurityWeek contó 726 fallos de Windows y 174 de Office ^[3].

El error de Outlook fue el único fallo señalado como explotado ^[1][2][3]. La publicación incluyó también las últimas actualizaciones de seguridad mensuales para las ediciones Enterprise y Education de Windows 11 versión 23H2, informó SecurityWeek ^[3].

La publicación de octubre fue mayor, un récord: BleepingComputer informó de 1.411 correcciones y SecurityWeek de 1.413 ^[2][3]. BleepingComputer señaló que Microsoft sigue utilizando la IA para encontrar y corregir vulnerabilidades ^[2]. Para los usuarios domésticos, el consejo práctico es el mismo cada mes: deje que se instalen las actualizaciones de Windows Update y de Office, y reinicie.

¿Cómo llegan a las personas los ataques con archivos de mensaje de Outlook?

Ataques como este suelen llegar como phishing: un correo con un archivo adjunto malicioso, tal como describe BleepingComputer para fallos NTLM similares ^[2].

Microsoft dice que el atacante debe convencer al usuario de que abra un archivo malicioso ^[1]. Eso hace que la concienciación ordinaria sobre el phishing sea la primera línea de defensa. Desconfíe de los archivos adjuntos inesperados, de las solicitudes urgentes y de los remitentes cuya dirección no coincide con su nombre.

Para una lista de comprobación más amplia, consulte la guía de Pouyam What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes.

Las organizaciones también pueden filtrar en la pasarela de correo los archivos adjuntos de mensaje de remitentes externos y avisar a los usuarios cuando un mensaje procede de fuera de la empresa. Estas medidas no sustituyen al parche, pero reducen el número de personas que llegan a ver el archivo.