Microsoft corrige vulnerabilidad de día cero en Outlook explotada activamente que expone hashes NTLM

Microsoft ha corregido CVE-2026-124194, una vulnerabilidad de día cero explotada activamente en Microsoft Outlook que puede exponer la información de autenticación NTLMv2 de un usuario cuando se abre un archivo de mensaje especialmente elaborado. Microsoft clasifica el problema como una vulnerabilidad de suplantación de identidad y la califica como Moderada con una puntuación CVSS 3.1 de 6.5.

La vulnerabilidad

La vulnerabilidad permite que un atacante remoto no autenticado envíe un archivo de mensaje malicioso y convenza a una víctima de abrirlo en una versión afectada de Outlook. Outlook puede entonces conectarse a una ubicación de red controlada por el atacante sin mostrar la advertencia de contenido externo que los usuarios esperarían normalmente. Durante esa conexión, Windows puede exponer información de autenticación NTLMv2 que potencialmente podría ser abusada para suplantar la identidad de la víctima.

Microsoft confirmó que CVE-2026-124194 ya ha sido explotado en ataques. Sin embargo, la empresa no ha revelado a los actores de amenazas involucrados, la escala de la campaña, las organizaciones víctimas, la infraestructura de entrega, ni si el material de autenticación robado ha sido utilizado para movimientos laterales posteriores o compromiso de cuentas.

El fallo se abordó como parte de la actualización de Patch Tuesday de noviembre de 2026 de Microsoft el 10 de noviembre. Los productos afectados incluyen Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 y Microsoft Office LTSC 2024 en sistemas de 32 bits y x64.

CISA añadió la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas el 10 de noviembre, confirmando evidencia de explotación activa y estableciendo el 24 de noviembre de 2026 como la fecha límite de remediación para las agencias federales estadounidenses aplicables.

Versiones afectadas y correcciones

El registro CVE identifica las siguientes versiones afectadas y corregidas:

Tanto las instalaciones de 32 bits como las de x64 están afectadas. Las organizaciones que utilizan Microsoft 365 Apps deben confiar en la información de los Lanzamientos de Seguridad de Office de Microsoft, ya que los números de compilación difieren entre los canales de servicio.

Microsoft atribuye a un investigador que utiliza el seudónimo "nono" y al investigador de seguridad Benoît Sevens el descubrimiento o reporte del problema. SecurityWeek señala que el reconocimiento de Microsoft para Sevens hace referencia al uso del modelo de IA Claude de Anthropic durante la investigación. Las fuentes disponibles no proporcionan la fecha exacta en que se descubrió privadamente la vulnerabilidad o se reportó inicialmente a Microsoft.

Mitigación

La remediación principal es instalar inmediatamente las actualizaciones de seguridad de Office de noviembre de 2026 de Microsoft. Las instalaciones de Office LTSC 2021 deben actualizarse a la compilación 16.0.14334.21048 o posterior, mientras que las instalaciones de Office LTSC 2024 deben ejecutar 16.0.17932.21140 o posterior. Los usuarios de Microsoft 365 Apps for Enterprise deben verificar que su canal de servicio haya recibido el lanzamiento de seguridad actual correspondiente.

Dado que la explotación ya está ocurriendo, las organizaciones deben verificar la implementación exitosa en lugar de asumir que las actualizaciones automáticas de Office han llegado a todos los dispositivos.

Los administradores deben tomar las siguientes acciones:

• Inventario de las instalaciones de Microsoft Outlook en los extremos gestionados.
• Identificar los sistemas de Microsoft 365 Apps, Office LTSC 2021 y Office LTSC 2024 que no han recibido la actualización de seguridad de noviembre.
• Desplegar las compilaciones corregidas inmediatamente y verificar la instalación.
• Revisar los extremos que permanecieron vulnerables mientras la explotación estaba activa.
• Bloquear el tráfico SMB saliente innecesario hacia internet.
• Auditar la autenticación NTLM saliente y reducir el uso de NTLM siempre que sea operativamente posible.
• Investigar la actividad inusual de Outlook hacia la red y los intentos de autenticación inesperados.
• Educar a los usuarios para que no abran archivos de mensaje de Outlook no solicitados ni archivos adjuntos de fuentes no confiables.

Bloquear el SMB saliente en el puerto TCP 445 proporciona una capa de protección adicional importante. Microsoft recomienda explícitamente evitar que el tráfico SMB salga de la red corporativa a menos que exista un requisito operativo específico para servicios SMB alojados en internet.

Las organizaciones también deben considerar restringir NTLM. Windows proporciona la directiva "Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers", que puede configurarse primero en modo de auditoría para identificar dependencias antes de que los administradores comiencen a bloquear la autenticación.

Desactivar abruptamente NTLM en toda una empresa puede romper aplicaciones y flujos de trabajo heredados. Por lo tanto, las organizaciones deben auditar el uso, identificar dependencias legítimas, implementar excepciones requeridas y avanzar progresivamente hacia la autenticación con Kerberos u otros mecanismos más fuertes.

Si se identifica una explotación sospechosa, simplemente instalar la actualización no es suficiente para cerrar el incidente. Los equipos de seguridad deben identificar la identidad afectada y revisar la actividad de autenticación que ocurrió después de que se abrió el archivo de mensaje sospechoso. Buscar conexiones SMB inusuales, inicios de sesión remotos, movimientos laterales, acceso a comparticiones de archivos, autenticación VPN, inicios de sesión en la nube y otros servicios que acepten las credenciales afectadas.

Donde la evidencia sugiera que la información de autenticación fue expuesta o abusada con éxito, restablecer la contraseña relevante y revocar las sesiones activas de acuerdo con los procedimientos de respuesta a identidades de la organización. También se deben investigar las credenciales privilegiadas adicionales accesibles para la cuenta afectada.

Los registros de extremos, proxies, firewalls, correo electrónico, EDR e identidad deben preservarse antes de la remediación cuando se sospecha un compromiso. Correlacionar estas fuentes puede ayudar a reconstruir la secuencia desde la entrega de phishing hasta la divulgación de NTLM y la posible autenticación subsiguiente.

Por qué importa

CISA añadió la vulnerabilidad a KEV el 10 de noviembre y requiere que las agencias federales aplicables la remedian para el 24 de noviembre de 2026. CISA lista el uso conocido en campañas de ransomware como desconocido. Microsoft no ha publicado IOCs específicos de la campaña para CVE-2026-124194, como direcciones IP maliciosas, dominios, hashes de archivos adjuntos, direcciones de remitente o nombres de archivo asociados con los ataques observados. La identidad de los atacantes y su objetivo siguen sin revelarse. Esto significa que las organizaciones actualmente necesitan priorizar la caza basada en comportamientos en lugar de la coincidencia estática de IOCs.

Fuentes (en inglés)

• socprime.com: CVE-2026-124194: Outlook Zero-Day Exposes NTLM Hashes
• techrepublic.com: Microsoft Patches 1,235 Security Flaws: Outlook Zero-Day Already Under Attack
• gbhackers.com: Microsoft Outlook Zero-Day Vulnerability Actively Exploited to Steal NTLM Authentication Hashes
• cyberpress.org: Hackers Exploit Microsoft Outlook Zero-Day to Steal NTLM Credentials in Active Attacks

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.