Microsoft corrigió una falla de Outlook que los atacantes ya explotaban para robar datos de acceso

Microsoft corrigió una vulnerabilidad de Outlook que atacantes ya estaban explotando para obtener datos con los que suplantar a un usuario. El arreglo forma parte de su actualización mensual de seguridad, que según BleepingComputer corrige 1.235 fallas en total.

La falla se identifica como CVE-2026-124194. La empresa la describe como un fallo de suplantación: un atacante envía un archivo de mensaje manipulado y convence a la víctima de abrirlo. Al hacerlo, Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar el aviso habitual de contenido externo.

Esa conexión puede revelar el hash NTLMv2 del usuario, según el aviso de Microsoft que citan SecurityWeek y The Hacker News, medios especializados en ciberseguridad y tecnología. Un hash es un código derivado de la contraseña de Windows: el atacante puede intentar descifrarlo para recuperar la clave o usarlo para iniciar sesión como la víctima en otros sistemas.

Microsoft precisó que el ataque requiere conexión de red y que la víctima abra el archivo. SecurityWeek agregó que la falla no se activa desde el panel de vista previa y que Microsoft la calificó como de gravedad moderada, con 6,5 puntos sobre 10.

Qué productos están afectados y cómo actualizar

Según el registro de la falla, están afectados Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024. Los datos publicados indican que las versiones corregidas son la 16.0.14334.21048 para Office LTSC 2021 y la 16.0.17932.21140 para Office LTSC 2024.

TechRepublic advirtió que instalar la última actualización de Windows no corrige necesariamente este problema: hace falta la actualización de seguridad de Office o de Microsoft 365 Apps. Malwarebytes, empresa de ciberseguridad, recomienda abrir una aplicación de Office, ir a Archivo > Cuenta y elegir Opciones de actualización > Actualizar ahora.

En equipos de trabajo, esas opciones pueden no aparecer si el área de sistemas administra las actualizaciones de forma central. En ese caso, Malwarebytes aconseja consultar con el equipo de tecnología de la empresa.

Nick Carroll, responsable de respuesta a incidentes de Nightwing, dijo a CSO Online que la puntuación baja no debe llevar a restarle importancia: “no dejes que la puntuación baja te engañe”, afirmó, y pidió aplicar el arreglo de inmediato.

La agencia de ciberseguridad de Estados Unidos confirmó la explotación

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) añadió la falla el 10 de noviembre a su catálogo de vulnerabilidades explotadas, que reúne errores cuyo uso en ataques está comprobado. En ese catálogo figura como “desconocido” si se usa en campañas de ransomware, el software que secuestra archivos a cambio de un pago.

CISA dio plazo hasta el 24 de noviembre a las agencias civiles federales para aplicar la corrección. La obligación alcanza solo a esos organismos, pero la agencia recomienda a todas las organizaciones priorizar las vulnerabilidades de su catálogo.

Microsoft no atribuyó los ataques a ningún grupo ni detalló cómo se produjeron, según The Hacker News. El aviso tampoco aclara si el hallazgo ocurrió antes o después de que comenzaran las intrusiones. La empresa acreditó el descubrimiento a un investigador identificado como Nono y a Benoît Sevens, de Anthropic, quien usó Claude.

El total de fallas varía según la información relevada, pero oscila entre 1.093 y 1.259. La diferencia responde a los criterios utilizados para contabilizar las vulnerabilidades, como la inclusión de identificadores de terceros o de fallas que ya habían sido corregidas previamente durante el mes.

Los datos sobre la distribución de las correcciones también varían según el relevamiento: Windows concentra 726 y Office, 174. El número de fallas críticas varía entre 63 y 66. Entre ellas hay varias de ejecución remota de código en Outlook, incluida una que puede activarse con solo seleccionar un correo en el panel de vista previa.