Hay momentos en que una herramienta cotidiana, como el correo que abrimos cada mañana sin pensar, deja de ser neutra y se convierte en un punto de fuga. Microsoft ha reconocido una falla, catalogada como CVE-2026-124194, que permite que Outlook, al abrir un archivo de mensaje manipulado, se conecte sin aviso a un servidor controlado por delincuentes y revele datos de autenticación de la víctima. La compañía sostiene que el riesgo exige que el usuario abra el archivo, y que la vista previa no basta para explotarlo, aunque ya hay atacantes que lo aprovechan. Como tantas veces en la historia de l
Microsoft alerta por una falla en Outlook explotada por ciberdelincuentes para robar credenciales de autenticación
Basta con abrir un archivo manipulado para que Outlook se conecte sin avisar
Mark
¿Por qué importa una falla que exige que el usuario abra un archivo?
Mimi
Porque el aviso de seguridad habitual no aparece. La persona abre el archivo y Outlook se conecta a un servidor del atacante sin advertirle.
Mark
¿Qué se pierde exactamente?
Mimi
Puede exponerse el hash NTLMv2, que Windows usa para comprobar la identidad. Microsoft dice que podría servir para suplantar al usuario.
Luke
Ojo con el "podría". El aviso habla de lo que puede ocurrir, no de cuántas víctimas hay ni qué daño concreto se causó.
Mark
Pero sí hay explotación confirmada, ¿no?
Mimi
Sí. CISA la agregó el 10 de noviembre a su catálogo de vulnerabilidades explotadas activamente.
Luke
Y aun así la calificación es 6,5 sobre 10. Es seria, pero no la máxima.
Mark
¿Y la caída del 12 de noviembre?
Luke
Aquí hay que ser estricto: no hay evidencia de que estén relacionadas. Coincidieron en el tiempo, nada más.
Mimi
Lo útil es verificar que Microsoft 365 Apps, Office LTSC 2021 y 2024 tengan la corrección instalada.
Der Puls
- Un archivo de mensaje manipulado puede arrastrar a Outlook a conectarse con un servidor del atacante sin que aparezca la advertencia habitual.
- El hash NTLMv2 de la víctima queda expuesto, abriendo la puerta a intentos de suplantación de identidad.
- CISA ya incluyó la falla en su catálogo de vulnerabilidades explotadas activamente, lo que eleva la urgencia.
- Microsoft publicó correcciones para Microsoft 365 Apps, Office LTSC 2021 y Office LTSC 2024, y pide verificar que estén instaladas.
- La misma jornada, una caída de servicios de Microsoft afectó Outlook, Microsoft 365 y Teams, aunque no hay vínculo comprobado con la falla.
Hay momentos en que una herramienta cotidiana, como el correo que abrimos cada mañana sin pensar, deja de ser neutra y se convierte en un punto de fuga. Microsoft ha reconocido una falla, catalogada como CVE-2026-124194, que permite que Outlook, al abrir un archivo de mensaje manipulado, se conecte sin aviso a un servidor controlado por delincuentes y revele datos de autenticación de la víctima. La compañía sostiene que el riesgo exige que el usuario abra el archivo, y que la vista previa no basta para explotarlo, aunque ya hay atacantes que lo aprovechan. Como tantas veces en la historia de la seguridad digital, la respuesta más sensata es actualizar y mantener la desconfianza ante lo inesperado.
Basta con abrir un archivo de mensaje manipulado en Outlook para que el programa se conecte, sin avisar, a un servidor que no pertenece al usuario. Esa es la esencia de una vulnerabilidad que Microsoft reconoció esta semana y que ya está siendo aprovechada por ciberdelincuentes para obtener datos de autenticación de sus víctimas.
La falla, catalogada como CVE-2026-124194, funciona así: el atacante envía un archivo alterado y convence a la persona de abrirlo. Al hacerlo, Outlook puede conectarse a una ubicación de red controlada por los delincuentes, sin el aviso habitual de contenido externo. Lo que puede quedar expuesto es el hash NTLMv2, el mecanismo con el que Windows comprueba la identidad de una persona ante ciertos servicios. En las manos equivocadas, ese dato sirve para suplantar al usuario.
Microsoft también precisó los límites: no basta con recibir un correo, y la explotación requiere conectividad e interacción del usuario. El panel de vista previa no es una vía de ataque. La vulnerabilidad tiene una calificación de 6,5 sobre 10 en CVSS, y el 10 de noviembre CISA la incorporó a su catálogo de fallas explotadas activamente. Las correcciones ya están disponibles para Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024.
La alerta coincidió con otro episodio: el 12 de noviembre, usuarios de varios países no pudieron acceder a Outlook, Microsoft 365 y Teams. Microsoft atribuyó el problema a servidores de Exchange Online que quedaron fuera de servicio, y trabajó en redistribuir el tráfico. No hay evidencia de que esa caída tenga relación con la vulnerabilidad ni con un ataque. Para el usuario, lo práctico es el mismo: revisar que sus Office estén actualizados y desconfiar de los archivos de mensaje que no esperaba recibir.
Basta con abrir un archivo de mensaje manipulado en Outlook para que el programa se conecte, sin avisar, a un servidor que no es el del usuario. Esa es la esencia de una vulnerabilidad que Microsoft reconoció esta semana y que, según se confirmó, ya está siendo aprovechada por ciberdelincuentes para obtener datos de autenticación de sus víctimas.
La falla está catalogada como CVE-2026-124194. El método de ataque es el siguiente: el atacante envía un archivo de mensaje alterado y logra convencer a la persona de abrirlo en Outlook. Al hacerlo, el programa puede conectarse a una ubicación de red controlada por los delincuentes sin mostrar la advertencia habitual sobre contenido externo.
Microsoft describió el alcance en su aviso técnico: abrir el archivo podría hacer que Outlook se conectara a una ubicación de red controlada por el atacante, sin el aviso de contenido externo, lo que podría revelar información de autenticación útil para suplantar al usuario.
El dato que se expone puede ser el hash NTLMv2, que Windows emplea para comprobar la identidad de una persona cuando accede a ciertos servicios. Si llega a manos equivocadas, puede usarse en intentos de suplantación de identidad.
La compañía también precisó los límites del ataque. No ocurre de forma automática con solo recibir un correo: según Microsoft, la explotación requiere conectividad de red e interacción del usuario, es decir, que la víctima abra el archivo malicioso. Además, la empresa confirmó que el panel de vista previa de Outlook no sirve como vía para explotar la falla.
La vulnerabilidad tiene una calificación de 6,5 sobre 10 en la escala CVSS. El 10 de noviembre, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de vulnerabilidades explotadas activamente. Microsoft ya publicó correcciones para las versiones afectadas: Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024. Por eso conviene comprobar que las actualizaciones estén instaladas y que Outlook tenga una compilación corregida.
La alerta se conoció el mismo día en que los servicios de Microsoft sufrieron otra situación. El jueves 12 de noviembre, usuarios de distintos países reportaron problemas para acceder a Outlook, Microsoft 365 y Teams. La interrupción llegó a sumar cerca de 130.000 reportes de fallas de Outlook en Downdetector, y también hubo dificultades con otras aplicaciones de la empresa. Microsoft reconoció problemas de conexión con los buzones de Exchange Online y explicó que algunos servidores habían quedado inesperadamente fuera de servicio; dijo que trabajaba en redistribuir el tráfico por su infraestructura mundial para recuperar la disponibilidad.
Son dos hechos distintos. No hay evidencia de que la caída del 12 de noviembre haya sido causada por la vulnerabilidad de Outlook ni por un ciberataque. Lo práctico para los usuarios es verificar las actualizaciones de Microsoft 365 Apps y Office LTSC 2021 y 2024, y desconfiar de archivos de mensaje inesperados.
Bemerkenswerte Zitate
La explotación requiere conectividad de red e interacción del usuario.— Microsoft, aviso técnico
Möchten Sie die ganze Geschichte?
Das Original lesen bei Revista Semana ↗