ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Microsoft

Alerta 2026-164 Explotación activa de falla en Outlook que expone hashes NTLM

Producto(s) afectado(s): 

ProductoVersiones afectadasCorregida en
Microsoft 365 Apps for Enterprise (32 y 64 bits)Anteriores a la actualización de noviembre de su canalActualización de noviembre de cada canal; por ejemplo, Current Channel 2610, compilación 20527.20196
Office LTSC 2021 (32 y 64 bits)Anteriores a 16.0.14334.2104816.0.14334.21048 o posterior
Office LTSC 2024 (32 y 64 bits)Anteriores a 16.0.17932.2114016.0.17932.21140 o posterior

Office 2019 y las ediciones para Mac no figuran en este aviso.

Descripción

Se ha publicado una vulnerabilidad en Microsoft Outlook, identificada como CVE-2026-124194, difundida el 10/11/2026 a las 13:00 (PYT) junto con las actualizaciones de seguridad de noviembre. El fabricante la califica con CVSS 6.5, media (Moderate). Este boletín la trata como de gravedad alta por la explotación activa que el propio proveedor confirma. Esta CVE ya se cubrió, junto con el resto del lote de noviembre, en la Alerta 2026-151.

Según el fabricante, un atacante sin autenticación envía un archivo de mensaje manipulado y convence al usuario de abrirlo en un Outlook afectado. Al abrirlo, el cliente se conecta a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo, y entrega el hash NTLMv2 del usuario, que puede usarse para autenticarse como él, en un ataque de retransmisión hacia otros servicios o para un descifrado fuera de línea de la contraseña. Hace falta interacción del usuario y conectividad de red. El panel de vista previa no es un vector de esta vulnerabilidad. El impacto recae en la confidencialidad; el fabricante no describe ejecución de código ni un efecto directo sobre la integridad o la disponibilidad.

El proveedor la marca con explotación detectada: se explota en ataques reales, no solo en teoría. No la daba por divulgada públicamente antes del parche. No identificó actor, víctimas, escala ni infraestructura, y no se localizó una prueba de concepto pública verificada. Desde el 10/11/2026 a las 16:03 (PYT) figura en catálogos de vulnerabilidades explotadas. Investigadores señalan que puede servir tanto a atacantes oportunistas como a campañas dirigidas.

Esta vulnerabilidad afecta al cliente Outlook, no a Exchange Server, y no tiene relación con la interrupción de servicio de Microsoft 365 y Exchange Online del 12/11/2026. Su CVSS es 6.5 porque requiere que el usuario abra el archivo; sin embargo, la falta de advertencia permite filtrar el hash NTLMv2 y el fabricante confirma su explotación.

Mitigación

El fabricante no publicó un workaround oficial. La única medida que cierra la falla es instalar las actualizaciones de noviembre de 2026 y verificar la compilación en cada equipo, desde la consola de gestión de endpoints o en Archivo > Cuenta de Outlook.

Recomendaciones generales

Las siguientes medidas no son indicaciones del fabricante para esta CVE y no reemplazan el parche:

  • Bloquear SMB saliente a Internet (TCP 445 y UDP 137–139) en el firewall perimetral y en el de los equipos. Se puede comprobar la exposición desde un equipo de usuario con Test-NetConnection hacia un host externo por el puerto 445: si la conexión tiene éxito, hay exposición.
  • Restringir NTLM: agregar las cuentas privilegiadas al grupo Protected Users; aplicar la directiva Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers, empezando en modo auditoría; exigir firma SMB y firma o EPA en LDAP para dificultar la retransmisión.
  • Mientras se parchea, poner en cuarentena o bloquear los adjuntos .msg y .eml de remitentes externos, y avisar a los usuarios de que no abran archivos de mensaje adjuntos inesperados.
  • Si hay sospecha de explotación, rotar las contraseñas de las cuentas con conexiones SMB o NTLM de Outlook hacia destinos externos y revisar su actividad posterior. El parche no revierte un compromiso previo.

Estas medidas no reemplazan la actualización.

Detección

El fabricante no publicó indicadores de compromiso. Las siguientes búsquedas son recomendaciones generales de detección, no indicadores oficiales:

  • En EDR, firewall o proxy, conexiones SMB o WebDAV salientes de OUTLOOK.EXE hacia direcciones IP públicas.
  • Autenticaciones NTLM hacia destinos externos (eventos 8001 y 8003 del registro NTLM/Operational, con la auditoría activa).
  • Inicios de sesión de red inusuales con las mismas cuentas después de esas conexiones.

Solución

La solución consiste en instalar las actualizaciones de seguridad de noviembre de 2026 de Microsoft 365 Apps for Enterprise y de Office LTSC 2021 y 2024, y verificar la compilación instalada en cada equipo: en Office LTSC 2021, 16.0.14334.21048 o posterior; en Office LTSC 2024, 16.0.17932.21140 o posterior; en Microsoft 365 Apps, la actualización de noviembre del canal en uso (por ejemplo, Current Channel 2610, compilación 20527.20196).

Para info sobre cómo actualizar, visita el siguiente enlace:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194

Información adicional: