Seguir Microsoft ha solucionado CVE-2026-124194, una vulnerabilidad de día cero explotada activamente en Microsoft Outlook que puede exponer la información de autenticación NTLMv2 de un usuario cuando se abre un archivo de mensaje especialmente diseñado. Microsoft clasifica el problema como una vulnerabilidad de suplantación y le asigna un nivel Moderado con un puntaje CVSS 3.1 de 6.5.
La vulnerabilidad permite que un atacante remoto no autenticado envíe un archivo de mensaje malicioso y convenza a una víctima de abrirlo en una versión afectada de Outlook. Outlook puede entonces conectarse a una ubicación de red controlada por el atacante sin mostrar la advertencia de contenido externo que los usuarios normalmente esperarían. Durante esa conexión, Windows puede exponer información de autenticación NTLMv2 que potencialmente puede ser abusada para hacerse pasar por la víctima.
Microsoft confirmó que CVE-2026-124194 ya ha sido explotado en ataques. Sin embargo, la compañía no ha revelado los actores de la amenaza involucrados, la escala de la campaña, las organizaciones víctimas, la infraestructura de entrega, o si el material de autenticación robado ha sido utilizado para movimientos laterales subsecuentes o comprometer cuentas.
El fallo se abordó como parte del lanzamiento de Patch Tuesday de Microsoft en noviembre de 2026 el 10 de noviembre. Los productos afectados incluyen Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 y Microsoft Office LTSC 2024 tanto en sistemas de 32 bits como x64.
CISA añadió la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas el 10 de noviembre, confirmando evidencia de explotación activa y estableciendo el 24 de noviembre de 2026 como la fecha límite de remediación para las agencias federales de EE.UU. aplicables.
Los equipos de seguridad pueden utilizar la Plataforma de Inteligencia de Detección Nativa de IA de SOC Prime para operacionalizar inteligencia de amenazas, identificar actividad sospechosa de Outlook y NTLM, y acelerar la ingeniería de detección y la búsqueda de amenazas en entornos SIEM, EDR, XDR y Data Lake.
Detectar CVE-2026-124194 correlacionando la actividad de Outlook con conexiones salientes SMB inesperadas, intentos de autenticación NTLM a sistemas externos, ejecución sospechosa de archivos de mensajes, y el abuso subsecuente de credenciales o identidad.
Es posible que los contenidos de detección no estén disponibles para cada CVE. Consulte la Plataforma SOC Prime para conocer la cobertura actual. Si las detecciones relevantes aún no están disponibles, revise periódicamente ya que continuamente se agregan nuevos contenidos de inteligencia y detección de amenazas.
Análisis de CVE-2026-124194
CVE-2026-124194 afecta a Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 y Microsoft Office LTSC 2024. Microsoft asigna al fallo un puntaje CVSS 3.1 de 6.5 con el vector AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N, reflejando accesibilidad remota, baja complejidad de ataque, no se requieren privilegios de atacante, interacción de usuario requerida y alto impacto en la confidencialidad.
La vulnerabilidad se clasifica bajo CWE-356, Producto de UI que No Advierte al Usuario de Acciones Inseguras. En términos prácticos, Outlook no muestra la advertencia que normalmente debería alertar a un usuario antes de que la aplicación acceda a contenido externo potencialmente peligroso.
La explotación comienza con un archivo de mensaje de Outlook especialmente diseñado entregado al objetivo. El atacante no necesita una cuenta en el sistema de la víctima o el tenant de Microsoft 365, pero la víctima debe abrir el archivo malicioso. Microsoft afirma específicamente que el Panel de Vista Previa no es un vector de ataque, lo que significa que simplemente mostrar el mensaje en la interfaz de vista previa de Outlook no es suficiente.
Una vez que se abre el archivo, Outlook puede iniciar una conexión a una ubicación de red controlada por el atacante sin presentar la advertencia habitual de contenido externo.
Esto es significativo porque los entornos de Windows pueden intentar automáticamente la autenticación NTLM al acceder a recursos remotos. El intercambio resultante de desafío-respuesta puede exponer el hash de autenticación NTLMv2 del usuario al servidor remoto.
Un hash NTLMv2 no es la contraseña en texto plano del usuario. Sin embargo, la posesión de material de autenticación puede crear varios riesgos subsiguientes dependiendo del entorno y las capacidades del atacante. BleepingComputer señala que los hashes capturados pueden ser objeto de cracking de contraseñas fuera de línea, mientras que el aviso de Microsoft advierte que la información de autenticación filtrada puede usarse potencialmente para autenticar como la víctima.
Esto hace que la vulnerabilidad sea particularmente relevante para entornos empresariales que aún dependen en gran medida de NTLM para compartir archivos, aplicaciones heredadas, recursos remotos o flujos de trabajo de autenticación internos.
El puntaje CVSS de 6.5 puede parecer inicialmente relativamente modesto para un día cero bajo explotación activa. El puntaje refleja el hecho de que la explotación requiere interacción del usuario y afecta principalmente la confidencialidad en lugar de ofrecer directamente ejecución de código, pérdida de integridad o interrupción del servicio.
Sin embargo, el riesgo operacional es notablemente mayor, porque Microsoft ya ha observado explotación y CISA ha agregado independientemente la falla a KEV. Por lo tanto, los equipos de seguridad deberían priorizar el estado de explotación sobre el puntaje CVSS por sí solo al determinar la urgencia de la remediación.
El registro CVE identifica las siguientes versiones afectadas y corregidas:
| Producto | Versiones afectadas | Versión corregida |
| Microsoft 365 Apps for Enterprise | Lanzamientos vulnerables antes de la actualización de seguridad aplicable de noviembre | Versión actual de seguridad de Office |
| Microsoft Office LTSC 2021 | Anterior a 16.0.14334.21048 | 16.0.14334.21048 |
| Microsoft Office LTSC 2024 | Anterior a 16.0.17932.21140 | 16.0.17932.21140 |
Tanto las instalaciones de 32 bits como las de x64 están afectadas. Las organizaciones que usan Microsoft 365 Apps deben confiar en la información de Lanzamientos de Seguridad de Office de Microsoft, porque los números de compilación difieren a través de los canales de servicio.
Microsoft publicó CVE-2026-124194 el 10 de noviembre de 2026 y lanzó las actualizaciones de seguridad correspondientes a través de Patch Tuesday. La vulnerabilidad no fue divulgada públicamente antes de que estuviera disponible una solución.
Microsoft acredita a un investigador con el apodo de «nono» y al investigador de seguridad Benoît Sevens por descubrir o reportar el problema. SecurityWeek señala que el reconocimiento de Microsoft para Sevens menciona el uso del modelo Claude AI de Anthropic durante la investigación. Las fuentes disponibles no proporcionan la fecha exacta en la que se descubrió o informó privadamente la vulnerabilidad a Microsoft.
El panorama de PoC de CVE-2026-124194 sigue siendo menos importante que el estado de explotación confirmado. Microsoft y los dos informes proporcionados no ofrecen código de exploit público ni instrucciones detalladas de reproducción. Algunos agregadores de exploits de terceros han producido señales conflictivas sobre material de prueba de concepto recién publicado, por lo que los defensores no deben confiar en la disponibilidad pública de PoC al evaluar riesgos. La explotación activa ya ha sido establecida independientemente a través de Microsoft y CISA.
Para la detección de CVE-2026-124194, los defensores deben monitorear la actividad de endpoints y redes conjuntamente. Una señal particularmente valiosa es que OUTLOOK.EXE inicie tráfico SMB hacia un destino externo o previamente desconocido poco después de que un usuario abra un archivo de mensaje de Outlook.
El tráfico saliente a través del puerto TCP 445 merece particular atención. Microsoft recomienda bloquear el tráfico saliente de SMB hacia internet como una medida general de defensa en profundidad porque puede prevenir que los dispositivos internos envíen datos SMB directamente a hosts externos.
Los equipos de seguridad también pueden revisar el registro Operacional de NTLM de Microsoft bajo Logs de Aplicaciones y Servicios/Microsoft/Windows/NTLM y auditar la autenticación NTLM saliente. Microsoft proporciona una política específicamente diseñada para auditar o denegar el tráfico NTLM saliente hacia servidores remotos.
Pivotes de caza conductual útiles incluyen:
- Outlook iniciando conexiones externas SMB inesperadas.
- Intentos de autenticación NTLM hacia destinos de internet.
- Autenticación exitosa a servicios internos poco después de actividad sospechosa de Outlook.
- Actividad de archivos de mensaje asociada con conexiones de red externas inusuales.
- Intentos repetidos de autenticación que involucran la misma identidad comprometida.
- Nuevas sesiones desde sistemas o direcciones IP inconsistentes con la actividad normal del usuario.
Los defensores deben evitar tratar cada conexión saliente de SMB o NTLM como prueba de explotación. Ambas tecnologías aún pueden existir legítimamente en entornos empresariales. Las detecciones más fuertes correlacionarán la actividad de Outlook, la reputación del destino, la interacción del usuario, la telemetría de NTLM y el comportamiento de autenticación subsecuente.
Microsoft no ha publicado IOCs específicos de la campaña CVE-2026-124194 como direcciones IP maliciosas, dominios, hashes de adjuntos, direcciones del remitente o nombres de archivo asociados con los ataques observados. La identidad de los atacantes y su objetivo permanecen sin revelar.
Esto significa que las organizaciones actualmente necesitan priorizar la caza basada en comportamiento en lugar de la coincidencia estática de IOC.
Mitigación de CVE-2026-124194
La remediación principal es instalar inmediatamente las actualizaciones de seguridad de Office de noviembre de 2026 de Microsoft.
Las instalaciones de Office LTSC 2021 deben actualizarse a la versión 16.0.14334.21048 o posterior, mientras que las instalaciones de Office LTSC 2024 deben ejecutar la versión 16.0.17932.21140 o posterior. Los usuarios de Microsoft 365 Apps for Enterprise deben verificar que su canal de servicio haya recibido la versión actual de seguridad correspondiente.
Debido a que la explotación ya está ocurriendo, las organizaciones deben verificar el despliegue exitoso en lugar de asumir que las actualizaciones automáticas de Office han llegado a cada dispositivo.
Los administradores deben tomar las siguientes acciones:
- Inventariar las instalaciones de Microsoft Outlook en todos los endpoints gestionados.
- Identificar los sistemas de Microsoft 365 Apps, Office LTSC 2021 y Office LTSC 2024 que no hayan recibido la actualización de seguridad de noviembre.
- Desplegar las versiones corregidas de inmediato y verificar la instalación.
- Revisar los endpoints que permanecieron vulnerables mientras la explotación estuvo activa.
- Bloquear el tráfico saliente de SMB innecesario hacia internet.
- Auditar la autenticación NTLM saliente y reducir el uso de NTLM donde sea posible operativamente.
- Investigar actividad inusual de Outlook hacia la red e intentos de autenticación inesperados.
- Educar a los usuarios para que no abran archivos de mensajes de Outlook no solicitados o adjuntos de fuentes no confiables.
Bloquear SMB saliente en el puerto TCP 445 proporciona una capa de protección adicional importante. Microsoft recomienda explícitamente prevenir que el tráfico SMB salga de la red corporativa a menos que haya un requisito operativo específico para servicios SMB alojados en internet.
Las organizaciones también deberían considerar restringir NTLM. Windows proporciona la Seguridad de red: Restringir NTLM: Tráfico NTLM saliente hacia servidores remotos política, que primero puede configurarse en modo de auditoría para identificar dependencias antes de que los administradores comiencen a bloquear la autenticación.
Deshabilitar abruptamente NTLM en toda una empresa puede romper aplicaciones heredadas y flujos de trabajo. Por lo tanto, las organizaciones deben auditar su uso, identificar dependencias legítimas, implementar excepciones requeridas y mover progresivamente la autenticación hacia Kerberos u otros mecanismos más fuertes.
Si se identifica una explotación sospechosa, simplemente instalar la actualización no es suficiente para cerrar el incidente.
Los equipos de seguridad deben identificar la identidad afectada y revisar la actividad de autenticación que ocurra después de que se sospecha que se abrió el archivo de mensaje. Busque conexiones SMB inusuales, inicios de sesión remotos, movimientos laterales, acceso a comparticiones de archivos, autenticación VPN, inicios de sesión en la nube y otros servicios que acepten las credenciales afectadas.
Donde la evidencia sugiera que la información de autenticación fue expuesta o utilizada con éxito, restablezca la contraseña relevante y revoque las sesiones activas de acuerdo con los procedimientos de respuesta de identidad de la organización. También deben investigarse las credenciales privilegiadas adicionales accesibles a la cuenta afectada.
Los registros de endpoints, proxy, firewall, correo electrónico, EDR e identidad deben preservarse antes de la remediación cuando se sospecha de compromiso. Correlacionar estas fuentes puede ayudar a reconstruir la secuencia desde la entrega de phishing hasta la divulgación de NTLM y la posible autenticación subsecuente.
CISA agregó la vulnerabilidad a KEV el 10 de noviembre y requiere que las agencias federales aplicables la remedien antes del 24 de noviembre de 2026. CISA enumera el uso de campaña de ransomware conocida como desconocido.
FAQ
¿Qué es CVE-2026-124194 y cómo funciona?
CVE-2026-124194 es una vulnerabilidad de suplantación en Microsoft Outlook explotada activamente, causada por la falla de Outlook en advertir a los usuarios antes de realizar una acción potencialmente insegura de contenido externo. Un atacante puede enviar un archivo de mensaje especialmente diseñado y convencer a un usuario para que lo abra. Outlook puede entonces conectarse a un recurso de red controlado por el atacante y exponer la información de autenticación NTLMv2 del usuario sin mostrar la advertencia esperada.
¿Cuándo se descubrió por primera vez CVE-2026-124194?
Microsoft divulgó públicamente y corrigió la vulnerabilidad el 10 de noviembre de 2026. La compañía acredita a los investigadores «nono» y Benoît Sevens, pero los informes públicos disponibles no especifican la fecha precisa del descubrimiento privado original. La vulnerabilidad no era públicamente conocida antes de que Microsoft lanzara la solución.
¿Cuál es el impacto de CVE-2026-124194 en los sistemas?
La explotación exitosa puede divulgar el hash de autenticación NTLMv2 de un usuario a un servidor controlado por un atacante. Los atacantes pueden potencialmente utilizar la información de autenticación capturada para hacerse pasar por la víctima, intentar recuperar contraseñas fuera de línea, o ganar acceso no autorizado a servicios que acepten las credenciales comprometidas. La vulnerabilidad en sí no proporciona ejecución remota de código directa.
¿Puede CVE-2026-124194 aún afectarme en 2026?
Sí. Microsoft ha confirmado la explotación activa y CISA añadió la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas el 10 de noviembre de 2026. Los sistemas que ejecutan versiones vulnerables de Outlook siguen en riesgo hasta que se instale la actualización de seguridad de Office correspondiente.
¿Cómo puedo protegerme de CVE-2026-124194?
Instale inmediatamente las actualizaciones de seguridad de Office de noviembre de 2026 de Microsoft, verifique que las instalaciones afectadas de Outlook estén ejecutando versiones corregidas, bloquee el tráfico saliente innecesario de SMB y audite o restrinja la autenticación NTLM saliente. Los usuarios también deben evitar abrir archivos de mensajes de Outlook no solicitados de fuentes desconocidas. Los equipos de seguridad deben seguir monitoreando las instrucciones de Microsoft para obtener detalles actualizados sobre CVE-2026-124194 a medida que se dispone de más información sobre la campaña de explotación.
