Microsoft ha confirmado que unos hackers están explotando un zero-day de Outlook que puede exponer información de autenticación de Windows cuando un usuario abre un archivo malicioso.

Identificada como CVE-2026-124194, esta vulnerabilidad de suplantación (spoofing) fue parcheada el 10 de noviembre de 2026. Microsoft la marca como “Explotación Detectada” y afirma que no fue revelada públicamente antes de la actualización.

El fallo tiene una puntuación CVSS de 6.5 y una calificación de severidad Moderada. Sin embargo, los ataques confirmados hacen que el parcheo sea una prioridad. El Índice de Explotabilidad de Microsoft indica que “Explotación Detectada” significa que la empresa tiene conocimiento de una explotación real, y no solo que los atacantes podrían desarrollar un exploit funcional.

Vulnerabilidad 0-Day de Outlook

Un atacante no necesita una cuenta ni acceso previo al sistema de tu objetivo. En su lugar, envía un archivo de mensaje especialmente diseñado y convence al destinatario de que lo abra en una versión afectada de Outlook. Para que la explotación tenga éxito, se requiere tanto la interacción del usuario como la conectividad de red.

Abrir el archivo puede causar que Outlook se conecte a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo. Microsoft clasifica la debilidad subyacente como CWE-356, donde la interfaz de un producto no advierte a los usuarios sobre acciones inseguras. La falta de esta advertencia elimina una oportunidad importante para detener la conexión.

Microsoft establece explícitamente que el Panel de Vista Previa no es un vector de ataque. El simple hecho de previsualizar un mensaje no cumple los requisitos de explotación documentados. Esto diferencia este fallo de ataques anteriores de Outlook, como los casos de hackers rusos explotando Outlook, que implicaban una vulnerabilidad diferente que no requería ninguna acción del usuario.

Según el aviso de Microsoft, una explotación exitosa revela el hash NTLMv2 del usuario, permitiendo potencialmente que un atacante se autentique como ese usuario. Se trata de un robo de datos de autenticación, no de una prueba de que el fallo ejecute directamente código malicioso. Microsoft califica el impacto en la confidencialidad como Alto, sin impacto directo en la integridad o disponibilidad.

Las filtraciones relacionadas con NTLM pueden servir de apoyo para ataques posteriores, dependiendo de las protecciones del servicio receptor. Investigaciones previas de Microsoft sobre Outlook documentaron el relevo de autenticación y el craqueo de contraseñas offline como usos posibles de los datos Net-NTLMv2 capturados.

La cobertura sobre routers de Ubiquiti comprometidos muestra cómo los atacantes utilizaron previamente infraestructura externa para el robo de credenciales. Esos detalles históricos no establecen la atribución de esta nueva campaña.

Versiones Afectadas

Los productos afectados incluyen Microsoft 365 Apps for Enterprise y Office LTSC 2021 y 2024, en ediciones de 32 y 64 bits. Microsoft enumera las compilaciones corregidas 16.0.14334.21048 para LTSC 2021 y 16.0.17932.21140 para LTSC 2024. Los administradores deben implementar las actualizaciones de seguridad de Office correspondientes a la brevedad.

Como protección adicional, Microsoft recomienda bloquear el tráfico SMB saliente innecesario en el puerto TCP 445 hacia internet. Esto limita la exposición externa de SMB, pero no sustituye la instalación del parche de Outlook.