Falla en Outlook entrega la credencial de Windows con un archivo y ya se explota

Microsoft corrigió una falla de Outlook que le entrega a un atacante la credencial de Windows de quien abre un archivo de mensaje preparado, y la empresa confirmó que ya se usa en ataques. El arreglo llegó el 10 de noviembre a las 16:00 UTC (13:00 en Buenos Aires, Santiago y São Paulo, 11:00 en Bogotá y Lima, 10:00 en Ciudad de México), dentro del paquete mensual de actualizaciones que Microsoft publica el segundo martes de cada mes.

Es la única falla de esa tanda que Microsoft marca como explotada, y ninguna otra se había hecho pública antes del parche. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) la sumó ese mismo día a su catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de fallas explotadas y les dio a las agencias federales civiles de ese país plazo hasta el 24 de noviembre para corregirla.

Qué es la falla

Un archivo de mensaje armado hace que Outlook se conecte a un servidor del atacante sin mostrar el aviso habitual de contenido externo. En esa conexión, Windows le entrega al servidor el hashHuella digital de un archivo o de un dato, un código de largo fijo calculado a partir de su contenido. Si el archivo cambia, aunque sea un byte, el hash cambia, por eso sirve para identificarlo. NTLMSistema de Microsoft para comprobar la identidad de un usuario en redes Windows sin enviar la contraseña, sino una versión cifrada de ella. Si un atacante captura esa versión, puede intentar descifrarla o usarla para hacerse pasar por el usuario. de la víctima, una versión cifrada de su credencial que, según la ficha de Microsoft, sirve para iniciar sesión haciéndose pasar por esa persona.

Microsoft la clasifica como una falla de suplantación de identidadUso de los datos personales de otra persona para hacerse pasar por ella ante una empresa u organismo, por ejemplo para contratar servicios o hacer compras a su nombre. causada porque la interfaz no advierte de una acción insegura. No exige cuenta ni contraseña, se ataca por la red y necesita que la víctima abra el archivo. La vista previa de Outlook no alcanza para activarla. Su puntaje CVSSEstándar abierto de la industria, promovido por la organización FIRST, que asigna un puntaje a cada vulnerabilidad para expresar su gravedad y ayudar a decidir con qué urgencia responder. es 6,5 sobre 10, severidad "moderada", porque requiere un clic y solo compromete la confidencialidad, como explicó SOC Prime.

Jack Bicer, director de investigación de vulnerabilidades de Action1, dijo a Infosecurity Magazine que igual hay que priorizarla. "Ya la están explotando, alcanza con un clic en un archivo de correo y afecta a Outlook, que usa casi cualquier organización", advirtió.

A quién afecta

• Microsoft 365 Apps para empresas, en 32 y 64 bits, anteriores a la versión de seguridad de noviembre de cada canal.
• Office LTSC 2021 anterior a la compilación 16.0.14334.21048.
• Office LTSC 2024 anterior a la compilación 16.0.17932.21140.
• Office 2016 y Office 2019 no figuran en la ficha. Ya no reciben parches, y TechloMedia recomienda pasar a una versión con soporte.

Estado de explotación

Explotada, según Microsoft, que la marca como "explotación detectada", y según CISA. Microsoft no informó quién la usa, contra quién ni cuántas veces, ni publicó indicadores de ataque. En el catálogo de CISA, el uso por bandas de ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso. figura como "desconocido".

El hallazgo se le atribuye a un investigador que firma "nono" y a Benoît Sevens, cuyo agradecimiento aclara que trabajó "usando Claude con Anthropic", un detalle que destacó SecurityWeek. Microsoft no explicó qué papel tuvo el modelo de IA.

Una sola explotada entre más de mil fallas

Los medios no coinciden en el tamaño del paquete. Infosecurity Magazine contó 1.235 fallas, Petri 1.090 y SecurityWeek 1.094, y la lista oficial suma 1.362 entradas porque incluye 165 fallas de ChromiumProyecto de código abierto que mantiene Google y que sirve de base a Chrome y a otros navegadores como Microsoft Edge, Brave y Opera. Una falla en Chromium suele afectar a todos los navegadores construidos sobre él hasta que cada uno publica su arreglo., el motor de Edge. Entre las críticas hay fallas con puntaje de 9,8 en los servicios DNS, DHCP y LDAP de Windows y en SQL Server, y de 9,9 en SharePoint Server. Ninguna figura como explotada.

Qué hacer

• Instalar la actualización de seguridad de Office de noviembre en todos los equipos con Outlook, empezando por administradores y cuentas de alto valor, como pide Bicer. Microsoft 365 Apps se actualiza solo, pero se puede forzar desde el menú Archivo, en Cuenta de Office, Opciones de actualización.
• Comprobar la compilación instalada contra la lista de versiones de seguridad de Office. La actualización de Windows del mes, KB5132061 en Windows 11, no reemplaza la de Office.
• Bloquear el tráfico SMB saliente hacia internet (puerto TCP 445) y auditar la autenticación NTLM saliente con la política Restrict NTLM: Outgoing NTLM traffic to remote servers, dos medidas que Microsoft recomienda en general, según SOC Prime.
• No abrir archivos de mensaje inesperados y, ante una sospecha, cambiar la contraseña de la cuenta y cerrar sus sesiones activas.

Ficha técnica

• Producto: Microsoft Outlook en Microsoft 365 Apps para empresas, Office LTSC 2021 y Office LTSC 2024.
• CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla.: CVE-2026-124194, publicado el 10 de noviembre de 2026.
• CVSS: 6,5 (moderada para Microsoft), vector CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N.
• CWE: CWE-356, la interfaz no advierte de acciones inseguras.
• Versiones corregidas: 16.0.14334.21048 (LTSC 2021), 16.0.17932.21140 (LTSC 2024) y la versión de seguridad de noviembre de cada canal de Microsoft 365 Apps.
• Alta en el catálogo KEV de CISA: 10 de noviembre de 2026, con plazo al 24 de noviembre, según el catálogo.