1 artículo con esta etiqueta
Un fallo en Microsoft Outlook por el que la interfaz del producto no avisa al usuario de una acción insegura (CWE-356). Según el aviso de Microsoft, si un usuario abre un archivo de mensaje manipulado, Outlook se conecta a una ubicación controlada por el atacante sin el aviso habitual de contenido externo y se revela un hash NTLMv2. El CVSS es 6.5 (medio), pero es la única vulnerabilidad del Patch Tuesday de noviembre de 2026 marcada como explotada, y CISA la añadió a KEV el 10 de noviembre (plazo: 24 de noviembre). La visión de este sitio: no la posponga por tener una puntuación moderada; aplique la actualización de Office y restrinja el SMB y el NTLM salientes dando por hecho que los hashes pueden filtrarse.