CISA confirma una vulnerabilidad activa en Microsoft Outlook que roba datos de acceso en tu computador y exige actualizar.
No eres tú, Microsoft tiene varios de sus servicios caídos, entre ellos Outlook con los correos Exchange, Teams, Azure, y otros. Ahora bien, la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) confirmó la explotación activa de una falla de día cero en Microsoft Outlook, registrada como CVE-2026-124194, la cual puede exponer los datos de autenticación de los usuarios.
Según el aviso de seguridad de la compañía, un atacante puede enviar un archivo de mensaje modificado especialmente y convencer a la víctima para que lo abra en el programa, provocando que la aplicación se conecte a una ubicación de red controlada por el ciberdelincuente sin mostrar la advertencia habitual sobre contenido externo.
Esa conexión oculta puede filtrar el código hash NTLMv2 del afectado para suplantar su identidad, razón por la cual la firma clasifica el problema como suplantación de identidad y no como ejecución remota de código, identificando un alto impacto en la confidencialidad sin afectar de forma directa la integridad de los datos ni la disponibilidad del servicio.
Para frenar este fallo de gravedad CVSS 6,5 que permite a intrusos no autenticados engañar a las redes, la empresa lanzó parches que corrigen esta vulneravilidad enmarcada en la norma CWE-356, referida al software que actúa sin pedir autorización al usuario al omitir el control de seguridad previo al acceso externo.
Pese a la falta de aviso, no se trata de un ataque de cero clics porque la víctima debe abrir el archivo malicioso y el panel de vista previa no sirve como vía de infección, evitando así confusiones con fallos pasados de Microsoft Outlook que no requerían interacción, como la brecha CVE-2023-23397 explotada por hackers rusos o la alerta sobre MonikerLink reportada por Cyber Security News, cuyos métodos no reflejan el funcionamiento de esta nueva amenaza.
El problema afecta a las versiones de 32 y 64 bits de Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024, sumando soluciones en las compilaciones 16.0.14334.21048 para LTSC 2021 y 16.0.17932.21140 para LTSC 2024 junto a la guía de seguridad enlazada en el boletín para orientar a los administradores.
Ante los ataques activos, CISA sumó el fallo a su catálogo KEV el 10 de noviembre de 2026 y fijó el 24 de noviembre como plazo máximo para corregirlo, exigiendo aplicar los parches del proveedor, evaluar la exposición a internet o dejar de usar los productos vulnerables si no hay solución disponible.
Por ello, los encargados de soporte deben identificar las instalaciones afectadas en cada computador, aplicar las mejoras y revisar directamente los números de compilación sin confiarse solo en los reportes de despliegue ni bajar la guardia por su etiqueta de gravedad moderada, considerando que el fabricante confirmó su explotación aunque aún no detalla quiénes son los atacantes, las víctimas, el tamaño de la campaña ni los indicadores de compromiso.
