La vulnerabilidad permite obtener datos de acceso al abrir archivos manipulados
Microsoft corrigió una vulnerabilidad de Outlook que estaba siendo aprovechada por atacantes para obtener información de acceso y suplantar la identidad de los usuarios. El parche forma parte de su actualización mensual de seguridad, que contempla más de mil correcciones para Windows y Office.
Identificada como CVE-2026-124194, la falla permite que un archivo de mensaje manipulado provoque una conexión de Outlook con una ubicación de red controlada por un atacante, sin mostrar la advertencia habitual de contenido externo. Esta conexión puede exponer el hash NTLMv2 del usuario, un código derivado de su contraseña que puede utilizarse para intentar recuperar la clave o acceder a otros sistemas.
Microsoft indicó que el ataque requiere que la víctima abra el archivo y tenga conexión de red. La vulnerabilidad no se activa desde el panel de vista previa y recibió una calificación de gravedad moderada, con 6.5 puntos sobre 10.
Los productos afectados incluyen Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024. Para corregir el problema, los usuarios deben instalar la actualización de seguridad de Office o Microsoft 365, ya que actualizar únicamente Windows no garantiza que la vulnerabilidad quede solucionada.
La actualización puede instalarse desde una aplicación de Office, en el apartado Archivo, Cuenta y Opciones de actualización, seleccionando la opción Actualizar ahora. En equipos administrados por una empresa, el proceso puede depender del departamento de tecnología.
La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) incorporó la vulnerabilidad a su catálogo de fallas explotadas el 10 de noviembre y estableció como plazo el 24 de noviembre para que las agencias civiles federales aplicaran la corrección. Aunque esa obligación corresponde a organismos gubernamentales, la agencia recomienda que otras organizaciones también prioricen el parche.
Microsoft no identificó a los responsables de los ataques ni detalló las campañas en las que se utilizó la vulnerabilidad. La compañía acreditó el descubrimiento a un investigador identificado como Nono y a Benoît Sevens, de Anthropic.
Noticias relacionadas
Sigue los reportes de última hora en FM 105
Infórmate sobre los acontecimientos en El Vigía
Consulta las actualizaciones de la prensa en Entorno Informativo
