Una explicación de una vulnerabilidad de Microsoft Outlook en la que abrir un archivo de mensaje manipulado filtra el hash NTLMv2 del usuario. Cubre qué ocurre, quién está afectado y cómo responder, desde el lado de la defensa y sin pasos de ataque.
- CVE
- CVE-2026-124194 (Microsoft Outlook Spoofing Vulnerability)
- Gravedad
- CVSS v3.1 6.5 (media; vector AV:N/AC:L/PR:N/UI:R/C:H; asignada por Microsoft, mismo valor en NVD). Gravedad MSRC: Moderate
- Tipo
- La interfaz del producto no avisa al usuario de acciones inseguras (CWE-356); suplantación
- Impacto
- Abrir un archivo de mensaje manipulado hace que Outlook se conecte al exterior sin aviso de contenido externo y filtre un hash NTLMv2. El panel de lectura no es un vector
- Afectado
- Office LTSC 2021, Office LTSC 2024, Microsoft 365 Apps for Enterprise
- Corrección
- LTSC 2021: 16.0.14334.21048 / LTSC 2024: 16.0.17932.21140 / Microsoft 365 Apps: consulte la página de versiones de seguridad de Office
- Publicado
- 10 de noviembre de 2026 (Patch Tuesday)
- Explotación
- Microsoft la marca como explotada (Exploited: Yes). Añadida a CISA KEV el 10 de noviembre de 2026 (plazo: 24 de noviembre)
El riesgo de esperar
Un hash no es la contraseña en texto plano, pero el aviso de Microsoft dice que el atacante podría usarlo para autenticarse como el usuario. Donde los usuarios pueden autenticarse con NTLM en recursos compartidos y servicios internos, un solo hash filtrado puede convertirse en un punto de apoyo hacia todo lo que ese usuario pueda alcanzar.
Qué tipo de vulnerabilidad es
El aviso de Microsoft dice que un atacante no autenticado podría enviar un archivo de mensaje manipulado y convencer a un usuario de que lo abra. Outlook podría entonces conectarse a una ubicación controlada por el atacante sin mostrar el aviso habitual de contenido externo, revelando información de autenticación que podría usarse para hacerse pasar por el usuario. Se clasifica como CWE-356 (la interfaz del producto no avisa al usuario de acciones inseguras).
- La explotación necesita conectividad de red e interacción del usuario. UI:R en el vector CVSS significa que hay que convencer al usuario de que abra un archivo de Office malicioso.
- Microsoft afirma que el panel de lectura no es un vector de ataque.
- Lo que se filtra es el hash NTLMv2. El impacto en la confidencialidad es alto (C:H), mientras que la integridad y la disponibilidad no se ven afectadas, lo que da 6.5.
- El aviso no describe cómo se construye el archivo ni cómo funciona la conexión, y este sitio tampoco.
Ámbito afectado
| Elemento | Detalle |
|---|---|
| Producto | Microsoft Outlook (Office LTSC 2021 / Office LTSC 2024 / Microsoft 365 Apps for Enterprise, 32 y 64 bits) |
| Corrección (LTSC 2021) | 16.0.14334.21048 |
| Corrección (LTSC 2024) | 16.0.17932.21140 |
| Corrección (Microsoft 365 Apps) | Consulte la página de versiones de seguridad de Office (aka.ms/OfficeSecurityReleases) |
| Soluciones provisionales / mitigaciones | Ninguna en los datos del aviso |
| Acción del cliente | Necesaria (Microsoft: Customer Action Required: Yes) |
- Las versiones que no figuran (por ejemplo, versiones antiguas de Office) no están cubiertas por el aviso. Si las usa, consulte a Microsoft.
- Incluso con actualizaciones automáticas, el ajuste del canal de actualización puede retrasar la entrega. Verifique la compilación real.
Cómo comprobar si está afectado
Compruebe su compilación de Office
En Outlook, vaya a Archivo, luego Cuenta de Office y después Acerca de Outlook para ver la compilación. LTSC 2021 por debajo de 16.0.14334.21048 o LTSC 2024 por debajo de 16.0.17932.21140 está afectado. Para Microsoft 365 Apps, busque en la página de versiones la compilación corregida de su canal. Si tiene muchos equipos, haga una lista como en la lista de comprobación del inventario de activos.
Compruebe cómo se entregan las actualizaciones
Averigüe si las actualizaciones son automáticas o las gestiona un administrador. Si la entrega está en pausa, compruebe que las actualizaciones del Patch Tuesday de noviembre no estén retenidas.
Compruebe hoy el SMB y el NTLM salientes
Compruebe si los equipos pueden llegar a internet por SMB (TCP 445) y si hay un ajuste que restrinja el NTLM saliente. Si están abiertos, un hash filtrado hace más daño.
Qué hacer hoy
Actualice Office a la compilación corregida o posterior (máxima prioridad)
Lleve LTSC 2021 a 16.0.14334.21048 o posterior y LTSC 2024 a 16.0.17932.21140 o posterior. En Microsoft 365 Apps, busque la compilación corregida de su canal en la página de versiones de seguridad de Office y actualice. El plazo de KEV es el 24 de noviembre, pero la explotación está confirmada, así que no espere a la fecha límite.
Bloquee el SMB saliente en el perímetro
Como defensa general, bloquee en el cortafuegos el SMB (TCP 445) desde su red interna hacia internet. Aunque un usuario abra un archivo manipulado, será menos probable que el hash llegue a un destino externo. Si usa SMB para compartir archivos con terceros, confirme primero ese caso de uso.
Restrinja el NTLM saliente
Microsoft documenta una directiva de Windows, «Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers», que puede auditar o denegar el NTLM saliente (Microsoft Learn). Ponerla directamente en «Deny all» puede romper procesos de negocio, así que empiece con «Audit all» para ver el uso real y luego endurezca por etapas.
Haga seguimiento a los usuarios que pudieron abrir un archivo así antes de la actualización
Si un usuario recuerda haber abierto un archivo de mensaje sospechoso, cambie su contraseña y revise su historial de inicios de sesión en busca de algo inusual. Lo que se filtra es un hash derivado de la contraseña, así que cambiarla inutiliza el hash filtrado. Refuerce también la protección de las cuentas (guía de autenticación multifactor).
Informe a los usuarios
Diga a los usuarios que no abran archivos de mensaje ni adjuntos de origen desconocido. Los patrones típicos de phishing se explican en qué es el phishing.
Estado de la explotación
- El aviso de Microsoft indica Publicly Disclosed: No y Exploited: Yes.
- CISA la añadió a KEV el 10 de noviembre de 2026 con un plazo del 24 de noviembre (versión de KEV 2026.11.10). KEV la nombra «Missing User Interaction for Potentially Unsafe Action».
- KEV registra el uso en ransomware como Desconocido y el triaje forense como No.
- La valoración de CISA se añade al registro CVE (explotación: activa; automatizable: no; impacto técnico: parcial).
- El estado en NVD es Analyzed, con el 6.5 de Microsoft.
- No se pudo confirmar información pública sobre la escala, las técnicas ni los actores de los ataques. El aviso incluye un reconocimiento a quien lo notificó.
Prioridades del mismo Patch Tuesday de noviembre
El CVRF de Microsoft (datos de actualizaciones de seguridad legibles por máquina) de noviembre de 2026 contiene 1342 entradas. Incluyen productos de terceros, como las vulnerabilidades de Chromium que incorpora Edge, así que este sitio no da una cifra solo de productos de Microsoft. De ellas, 68 se califican como Critical, mientras que el propio CVE-2026-124194 es Moderate. A continuación figuran las principales Critical confirmadas en el CVRF. Dentro del CVRF, este CVE es el único marcado como explotado.
| CVE | Producto | En breve |
|---|---|---|
| CVE-2026-118207 | Exchange Server (Subscription Edition) | Ejecución remota de código (CVSS 8.8). Requiere un atacante autenticado con pocos privilegios. Valorada como explotación más probable |
| CVE-2026-119958 | Windows LDAP | Ejecución remota de código (CVSS 9.8). Sin autenticación. Valorada como explotación menos probable |
| CVE-2026-116928 | Windows Search | Ejecución remota de código (CVSS 9.8). El aviso describe una vía en la que Exchange procesa adjuntos automáticamente. Valorada como explotación menos probable |
| CVE-2026-119952 | Windows Schannel | Ejecución remota de código (CVSS 8.1). Sin autenticación. Valorada como explotación más probable |
| CVE-2026-118146 | Active Directory Domain Services | Ejecución remota de código (CVSS 8.8). Valorada como explotación más probable |
- «Explotación más o menos probable» es la valoración del Exploitability Index de Microsoft, distinta de si se ha observado realmente la explotación (Exploited).
- Es una selección de las principales. Consulte los avisos de Microsoft para el resto de entradas Critical.
Fuentes
- Microsoft — CVE-2026-124194 Microsoft Outlook Spoofing Vulnerability (publicado el 10 de noviembre de 2026; productos afectados, compilaciones corregidas, explotada, CVSS 6.5)
- Microsoft — MSRC CVRF, November 2026 security updates (lista de Critical y valoraciones de explotabilidad)
- Microsoft — Microsoft 365 Apps security updates (lista de compilaciones de Office)
- Microsoft Learn — Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers (auditar o denegar el NTLM saliente)
- CVE.org — CVE-2026-124194 (publicado el 10 de noviembre de 2026; incluye la inclusión por CISA)
- NVD — CVE-2026-124194 (Analyzed; CVSS 6.5)
- CISA KEV — Known Exploited Vulnerabilities Catalog (añadido el 10 de noviembre; plazo el 24 de noviembre)
Este sitio indica el bloqueo del SMB saliente (TCP 445) como defensa general; no es una solución provisional indicada en el aviso de Microsoft. Última verificación: 11 de noviembre de 2026.
Lee a continuación
- Práctica: La guía de corrección de vulnerabilidades / Lista de comprobación del inventario de activos
- Decidir: Priorizar con CVSS, EPSS y KEV
- Autenticación: Guía de autenticación multifactor
- Términos: ¿Qué es el phishing? / ¿Qué es CVSS?