Microsoft confirma el fallo de Outlook mientras CISA añade una vulnerabilidad explotada al catálogo

Microsoft confirmó el jueves que los usuarios estaban experimentando dificultades para acceder a los buzones de correo de Exchange Online a través de múltiples métodos de conexión, informando inicialmente de interrupciones en las Américas. La compañía reconoció posteriormente que los problemas podrían afectar la conectividad del servicio Microsoft 365 en cualquier región.

Según el servicio de monitoreo de caídas DownDetector, más de 130.000 usuarios reportaron problemas para acceder a Outlook aproximadamente a las 1:15 p. m. hora del Este. También se reportaron problemas menos generalizados con Microsoft Copilot, Teams, OneDrive y Microsoft Store.

Microsoft dijo que ha estado trabajando para restaurar el servicio redirigiendo el tráfico lejos de la infraestructura afectada, pausando los despliegues y reiniciando los servidores. Alrededor de las 4 p. m. hora del Este, la compañía informó de avances en la restauración de los servidores afectados y dijo que se estaban implementando medidas adicionales de recuperación.

La vulnerabilidad reportada

La Agencia de Ciberseguridad e Infraestructura de Seguridad de EE. UU. ha confirmado la explotación activa de una vulnerabilidad de día cero de Microsoft Outlook identificada como CVE-2026-124194. CISA añadió la falla a su catálogo de vulnerabilidades explotadas conocidas el 10 de noviembre de 2026, estableciendo una fecha límite de remediación para el 24 de noviembre.

Según el aviso de seguridad de Microsoft, un atacante puede enviar un archivo de mensaje especialmente elaborado y persuadir a una víctima para que lo abra en Outlook. La aplicación podría entonces conectarse a una ubicación de red controlada por el atacante sin mostrar su advertencia habitual sobre contenido externo. Esa conexión puede revelar el hash NTLMv2 de la víctima, datos de autenticación que un atacante podría usar para suplantar al usuario.

Microsoft clasifica el problema como suplantación de identidad en lugar de ejecución remota de código. Su evaluación identifica un alto impacto en la confidencialidad, pero ningún impacto directo en la integridad de los datos o la disponibilidad del servicio. La debilidad cae bajo CWE-356, que cubre el software que falla en obtener la aprobación adecuada del usuario antes de una acción potencialmente insegura.

Microsoft lanzó actualizaciones de seguridad para la falla. Las compilaciones corregidas incluyen 16.0.14334.21048 para Office LTSC 2021 y 16.0.17932.21140 para Office LTSC 2024. Los clientes de Microsoft 365 Apps deben consultar la información de lanzamiento de seguridad de Office aplicable en lugar de asumir que los números de compilación de LTSC se aplican a su canal de actualización.

Conexión con el fallo

El fallo coincide con los informes de la vulnerabilidad de seguridad de Microsoft Outlook, pero no hay una conexión confirmada entre la vulnerabilidad reportada y el fallo generalizado del servicio. Ni Microsoft ni CISA han identificado un ciberataque como la causa de la interrupción del jueves.

Microsoft no ha proporcionado un cronograma confirmado para la restauración completa de los servicios de Outlook afectados.

---

Fuentes (en inglés)

• moosejawtoday.com: Microsoft confirms Outlook outage across the Americas, potentially the globe, amid U.S. Cyber Security Agency's discovery of Outlook vulnerability - MooseJawToday.com
• play1037.ca: Microsoft confirms Outlook outage across the Americas and potentially the globe amid U.S. Cyber Security Agency’s discovery of Outlook vulnerability | play 103.7 | Harvard Media
• cyberpress.org: CISA Confirms Active Exploitation of Microsoft Outlook Zero-Day Vulnerability
• cybersecuritynews.com: CISA Confirms Active Exploitation of Outlook User Interaction 0-Day Vulnerability

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.