Microsoft corrigió un zero-day de Outlook que ya se está usando en ataques reales. La falla, registrada como CVE-2026-124194, llegó con el Patch Tuesday de noviembre de 2026, publicado el martes 10 de noviembre, y ese mismo día la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) la agregó a su catálogo de vulnerabilidades explotadas activamente (KEV). Si en tu empresa usan Outlook, que es el caso de la mayoría de las Pymes, la actualización es para hoy.
En esta guía te contamos qué es la falla, cómo la aprovechan los atacantes, qué versiones están afectadas, qué más trae este Patch Tuesday y qué pasos concretos puedes dar hoy mismo.
Qué es el zero-day de Outlook CVE-2026-124194
Microsoft la clasifica como una vulnerabilidad de suplantación (spoofing) con severidad “moderada” y un puntaje CVSS 3.1 de 6,5. Según el aviso oficial de Microsoft, la interfaz de Outlook no advierte al usuario antes de una acción insegura, lo que permite a un atacante no autorizado suplantar a alguien a través de la red. La debilidad corresponde a CWE-356: la interfaz no avisa de acciones inseguras.
Microsoft la marca como “explotación detectada” y aclara que no se había divulgado públicamente antes del parche. Por eso se considera un zero-day: los atacantes la usaban antes de que existiera una corrección.
Cómo explotan el zero-day de Outlook
El puntaje de 6,5 puede parecer bajo, pero el impacto es serio. Microsoft explica el ataque así:
- El atacante envía un archivo de mensaje manipulado y convence a la persona de abrirlo.
- Al abrirlo, Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual de contenido externo.
- En esa conexión se filtra el hash NTLMv2 del usuario, un dato de autenticación de Windows.
- Con ese hash, el atacante puede autenticarse como el usuario y hacerse pasar por él.
La vista previa de Outlook no activa el ataque: la víctima tiene que abrir el archivo. Según BleepingComputer, este tipo de fallas de filtración de credenciales NTLM se ha explotado antes, casi siempre con adjuntos maliciosos en campañas de phishing, y el hash capturado puede descifrarse fuera de línea para obtener la contraseña.
El Zero Day Initiative lo resume en una frase: aunque se llame suplantación, el impacto es mayor de lo que sugiere el nombre, así que no hay que dejarse confiar por el puntaje. Rapid7 agrega que el hash también puede reenviarse en tiempo real contra otros servicios que no tengan protecciones como la firma de mensajes SMB o LDAP.
Microsoft no ha publicado detalles de los ataques observados ni indicadores de compromiso. En su aviso acredita el hallazgo a dos investigadores: “nono” y Benoît Sevens.
Versiones afectadas por el zero-day de Outlook
De acuerdo con Microsoft y el registro de NVD, la falla afecta a:
- Microsoft 365 Apps para empresas (32 y 64 bits): la corrección llega por el canal de actualización de Office. Revisa las notas de seguridad de Office para tu canal.
- Office LTSC 2021: versiones anteriores a la compilación 16.0.14334.21048.
- Office LTSC 2024: versiones anteriores a la compilación 16.0.17932.21140.
CISA fijó el 24 de noviembre de 2026 como fecha límite para que las entidades federales de EE. UU. apliquen el parche. Es una obligación para ellas, pero también una buena referencia para cualquier empresa: si el gobierno estadounidense da dos semanas, tu Pyme no debería esperar más.
El Patch Tuesday de noviembre en cifras
Este mes Microsoft corrigió más de mil fallas. El conteo varía según el medio: BleepingComputer cuenta 1.235, con 66 críticas, mientras que SecurityWeek habla de 1.094 y el Zero Day Initiative de cerca de 1.090 CVE nuevos. Todos coinciden en que es una cifra enorme, aunque menor que la de octubre, que superó las 1.400.
Además del zero-day de Outlook, vale la pena tener en el radar:
- Tres fallas críticas de ejecución remota de código en Outlook (CVE-2026-110043, CVE-2026-110068 y CVE-2026-111309), cada una con CVSS 8,8.
- CVE-2026-116928 en Windows Search, con CVSS 9,8: se alcanza a través de Exchange Server con un correo que trae un adjunto manipulado, y se activa cuando el servidor lo indexa, sin que nadie lo abra.
- CVE-2026-119958 en Windows LDAP: ejecución remota sin autenticación, especialmente peligrosa en controladores de dominio.
Ninguna de estas otras fallas está marcada como explotada por ahora, pero son las que los atacantes suelen estudiar primero después de que sale el parche.
Qué hacer hoy en tu Pyme
- Actualiza Windows y Office en todos los computadores. No te quedes solo con el tuyo: un equipo sin parchear es suficiente para que entren.
- Confirma la versión de Office. En Outlook, ve a Archivo, Cuenta (o Cuenta de Office), Opciones de actualización y Actualizar ahora.
- No abras archivos de mensaje ni adjuntos que no esperabas, aunque parezcan venir de alguien conocido.
- Capacita a tu equipo contra el phishing. Este ataque necesita que alguien abra el archivo, así que la persona es la primera barrera.
- Si tienes área de TI, considera bloquear el tráfico SMB saliente hacia internet y revisa el uso de NTLM en tu red.
- Centraliza la gestión de parches. Con NESS puedes ver desde una sola consola qué computadores siguen sin actualizar y monitorear actividad sospechosa en tus equipos.
Protege tu empresa gratis con el Programa Ciberseguridad para Pymes 2027
Mantener al día los parches de todos los computadores es difícil cuando no tienes un equipo de TI dedicado. Por eso en NESS abrimos el Programa Ciberseguridad para Pymes 2027: 6 meses de NESS Enterprise gratis para hasta 1.000 Pymes de 3 a 200 computadores, en cualquier país de habla hispana. Las inscripciones están abiertas hasta el 30 de diciembre de 2026.
Inscribe tu empresa en la convocatoria.
Fuentes
- Microsoft MSRC: CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability
- CISA: Catálogo de vulnerabilidades explotadas conocidas (KEV)
- NVD: CVE-2026-124194
- BleepingComputer: Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day
- SecurityWeek: Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft
- Zero Day Initiative: The November 2026 Security Update Review
- Rapid7: Patch Tuesday, November 2026
