Microsoft ha publicado una corrección para una vulnerabilidad de Outlook que se explota activamente y que puede exponer información de autenticación cuando un usuario abre un archivo malicioso. Su aviso del 10 de noviembre indica que los atacantes podrían usar esa información para suplantar al usuario, lo que convierte la actualización en una prioridad para las organizaciones que usan versiones afectadas de Outlook.
El fallo, CVE-2026-124194, tiene una gravedad Moderada y una puntuación base del Sistema de Puntuación de Vulnerabilidades Comunes (CVSS) de 6,5 sobre 10. La explotación requiere tanto conectividad de red como que un usuario abra el archivo. Microsoft afirma explícitamente que el panel de vista previa de Outlook no es un vector de ataque.
La corrección forma parte de una amplia publicación de seguridad de noviembre. Las notas de la versión del 11 de noviembre enumeran 1.094 CVE de Microsoft (identificadores asignados a vulnerabilidades) y 165 CVE no pertenecientes a Microsoft que se han vuelto a publicar. Juntos suman las 1.259 entradas que informó The Hacker News, que describió noviembre como el segundo mes consecutivo por encima de 1.000.
Cómo funciona el ataque contra Outlook
Un atacante no necesita cuenta ni acceso previo para enviar un archivo de mensaje especialmente diseñado y convencer a alguien de abrirlo en una instalación vulnerable de Outlook. Al abrirlo, Outlook podría conectarse a una ubicación de red controlada por el atacante sin mostrar su habitual advertencia de contenido externo.
Microsoft afirma que esa conexión puede revelar el hash NTLMv2 del usuario, información de autenticación que un atacante podría usar para autenticarse como la víctima. Por tanto, el riesgo práctico va más allá de mostrar contenido engañoso: abrir el archivo podría exponer información utilizable para suplantar identidades.
Microsoft marcó la vulnerabilidad como explotada en el momento de su publicación original, el 10 de noviembre, y como no divulgada públicamente con anterioridad. La compañía atribuye el hallazgo a nono y Benoît Sevens, que utilizaron Claude de Anthropic para informarla.
La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) añadió la vulnerabilidad de Outlook a su catálogo de vulnerabilidades explotadas conocidas el 10 de noviembre, citando pruebas de explotación activa. The Hacker News informa de un plazo de corrección para las agencias federales que vence el 24 de noviembre de 2026. Ese requisito se aplica a las agencias del poder ejecutivo civil federal, no a las organizaciones en general.
El aviso de CISA describe la Directiva Operativa Vinculante 26-04 como una norma que exige a esas agencias priorizar las vulnerabilidades del catálogo de alto riesgo en activos expuestos públicamente que, tras ser explotadas, otorguen control total, y aplazar las vulnerabilidades de menor riesgo. También establece expectativas para comprobar si los atacantes comprometieron los sistemas antes de aplicar la corrección. CISA anima a otras organizaciones a priorizar las vulnerabilidades catalogadas mediante una gestión de vulnerabilidades basada en riesgos.
Fallos críticos también afectan al procesamiento en servidores
Otras correcciones de noviembre abordan la ejecución remota de código, que puede permitir a un atacante ejecutar código en un sistema vulnerable. Tres avisos de Microsoft muestran por qué los administradores deben considerar el servicio afectado y los requisitos previos del ataque junto con las puntuaciones de gravedad.
Windows Search: CVE-2026-116928. Microsoft clasifica esta vulnerabilidad como Crítica, con una puntuación base de 9,8. Su aviso describe una escritura fuera de límites, es decir, una operación de memoria fuera de su límite previsto, en el componente Windows Search que utiliza Microsoft Exchange Server.
Un atacante no autenticado podría enviar un correo electrónico con un adjunto especialmente diseñado. Exchange procesa automáticamente el adjunto para indexarlo, por lo que el destinatario no necesitaría abrir ni el correo ni el adjunto. Una explotación exitosa podría ejecutar código con los permisos del servicio de procesamiento. En el momento de la publicación, Microsoft no registró explotación ni divulgación pública previa y evaluó que la explotación era menos probable.
Windows LDAP: CVE-2026-119958. Esta vulnerabilidad crítica también tiene una puntuación base de 9,8. LDAP, el Protocolo ligero de acceso a directorios, se usa para acceder a información de directorios. El aviso de Microsoft describe otra escritura fuera de límites: un atacante no autenticado podría enviar llamadas LDAP especialmente diseñadas y ejecutar código en el contexto de seguridad del servicio LDAP. No se requiere interacción del usuario. En el momento de la publicación, Microsoft no registró explotación ni divulgación pública previa y evaluó que la explotación era menos probable.
Windows Schannel: CVE-2026-119952. Microsoft clasifica esta vulnerabilidad como Crítica, con una puntuación base de 8,1, y evaluó que la explotación era más probable, aunque en el momento de la publicación no registró explotación ni divulgación pública previa. El aviso describe una discrepancia de tiempo observable y señala que un atacante no autenticado podría enviar un paquete de red especialmente diseñado a un servicio afectado para ejecutar código sin interacción del usuario.
La explotación de Schannel tiene una condición adicional: deben existir determinados ajustes o configuraciones del protocolo. Microsoft afirma que esos requisitos reducen la probabilidad de ataques generalizados u oportunistas.
The Hacker News también destacó las correcciones de ejecución remota de código en Windows Virtual Filtering Platform (CVE-2026-95962) y en Windows Xbox Live Networking Service (CVE-2026-112967), además de un fallo de escalada de privilegios en Azure OpenAI (CVE-2026-119990). La escalada de privilegios da al atacante permisos mayores.
Qué deben priorizar los administradores
Las cifras por familia de productos de Microsoft incluyen 726 vulnerabilidades de Windows, 174 de Office, 59 de SQL Server, 53 de Developer Tools, 27 de SharePoint Server, 20 de Azure, nueve de Exchange Server, una de Defender y 25 clasificadas en la categoría «Other». The Hacker News informa de que más de 500 fallos implican escalada de privilegios, seguida de ejecución remota de código y divulgación de información. Cita al investigador de Tenable Satnam Narang, quien afirma que Microsoft ha corregido más de 5.100 CVE este año.
Para la priorización, Jake Knott, responsable de inteligencia de amenazas de watchTowr, dijo a The Hacker News que los equipos deberían empezar por los sistemas expuestos a internet, después por las vulnerabilidades que ya se están explotando, y verificar si usan el componente vulnerable y cumplen sus requisitos de explotación.
Los administradores deben aplicar la corrección de Outlook y las actualizaciones de noviembre que correspondan a los productos que tengan desplegados. Microsoft señala que las actualizaciones de Windows 10 y Windows 11 son acumulativas, e incluyen correcciones de seguridad anteriores y cambios que no son de seguridad, y recomienda instalar la última actualización de la pila de servicio, que respalda la instalación de las actualizaciones de Windows. Los clientes de Windows Server 2008 y 2008 R2 necesitan Extended Security Updates (ESU) para seguir recibiendo actualizaciones de seguridad.
Antes de desplegar, revise los problemas conocidos que Microsoft indica para SQL Server 2025 CU10 y 2022 CU27; Windows Server 2025, incluidos los despliegues de Hotpatch; Windows Server 2022, 2019 y 2016; las versiones 1809, 21H2, 22H2 y 1607 de Windows 10; y las actualizaciones de .NET 9.0 y 8.0. Microsoft remite a los administradores a la pestaña Deployments de la Guía de actualizaciones de seguridad y a la columna Known Issues para obtener más detalles.
