Outlook: un fallo explotado filtra los hashes NTLMv2 de los usuarios y Microsoft lo corrige

Vigilancia cibernética de Top-Secured: análisis independiente basado en las fuentes citadas más abajo. Top-Secured no está afiliado a las empresas mencionadas y nunca le pedirá sus datos bancarios ni sus contraseñas.

Las actualizaciones de noviembre de 2026 de Microsoft corrigen la CVE-2026-124194, un fallo de Outlook que el fabricante asegura que ya se explota. Un archivo manipulado abierto en Outlook hace que se conecte al servidor de un atacante sin el aviso habitual y le entregue el hash NTLMv2 del usuario; la CISA lo ha incluido en su catálogo de vulnerabilidades explotadas.

Qué ha pasado

Microsoft publicó el 10 de noviembre de 2026 sus actualizaciones de seguridad mensuales. Según The Record, abarcan 1.093 vulnerabilidades, más de mil por segundo mes consecutivo. Entre ellas, Microsoft marca la CVE-2026-124194, en Outlook, como ya explotada. Ese mismo día, la agencia estadounidense CISA la añadió a su catálogo de vulnerabilidades explotadas y dio a las agencias federales hasta el 24 de noviembre para corregirla. Ni Microsoft ni la CISA han dicho quién está detrás de los ataques ni quiénes fueron los objetivos.

Cómo la usan los atacantes

Microsoft describe el escenario: el atacante envía un archivo manipulado y convence al usuario de abrirlo en Outlook. El programa se conecta entonces a una ubicación de red controlada por el atacante sin mostrar el aviso habitual sobre contenido externo. Al hacerlo revela el hash NTLMv2 del usuario, que el atacante puede reutilizar para autenticarse en su nombre. El atacante no necesita cuenta, pero la víctima debe abrir el archivo: el panel de vista previa no es una vía de ataque. Microsoft le asigna 6,5 sobre 10 y una gravedad moderada, pero un hash robado puede abrir la puerta a otros servicios de la empresa.

Productos afectados según Microsoft: Microsoft 365 Apps for Enterprise (32 y 64 bits), Office LTSC 2024 y Office LTSC 2021.

Qué hacer ahora

1. Actualice Office: build 16.0.17932.21140 o posterior para Office LTSC 2024, 16.0.14334.21048 o posterior para Office LTSC 2021; para Microsoft 365 Apps, la build de seguridad de noviembre de su canal. Compruébelo en Outlook en Archivo > Cuenta de Office > Acerca de Outlook.
2. Verifique que las actualizaciones llegan de verdad a los equipos: las instalaciones Click-to-Run a veces se quedan en una build antigua cuando una directiva aplaza las actualizaciones.
3. Bloquee el SMB saliente (TCP 445) hacia Internet en el firewall: es la vía más habitual para enviar hashes NTLM al exterior.
4. Incluya las cuentas de administración y las cuentas sensibles en el grupo Protected Users, que les impide autenticarse por NTLM, y planifique reducir el uso de NTLM en el dominio.
5. Recuerde a los equipos que no abran adjuntos inesperados, aunque vengan de un remitente conocido.

Nuestra opinión

Un fallo calificado de moderado pero ya explotado merece más atención que uno crítico que nadie usa. Actualizar los puestos de trabajo forma parte de la seguridad de los servidores: un hash NTLM filtrado suele ser el primer paso hacia el servidor de archivos o el controlador de dominio.

Fuentes

• Microsoft MSRC — Microsoft Outlook Spoofing Vulnerability (CVE-2026-124194)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-124194 (Microsoft Office Outlook)
• The Record — Microsoft’s Patch Tuesday surpasses 1,000 bugs for second month in a row

Cómo elegimos, verificamos y redactamos nuestros análisis →