Microsoft corrige un fallo de Outlook usado para robar credenciales de Windows

Con su actualización de seguridad de noviembre, publicada el 10 de noviembre, Microsoft corrige un fallo de Outlook que los atacantes ya explotaban antes del parche. Un archivo de mensaje manipulado hace que Outlook se conecte en silencio a un servidor del atacante, y Windows le entrega de paso el hash NTLMv2 de la cuenta del usuario. Quien use Outlook debería instalar ya la actualización de Office. En total, la publicación cierra 1.093 vulnerabilidades, según Tenable, o 1.235 si se cuentan, como hace BleepingComputer, las correcciones del navegador Edge.

Cómo funciona el ataque por Outlook

Microsoft clasifica CVE-2026-124194 como un fallo de suplantación y le asigna gravedad moderada, con una puntuación CVSS de 6,5. El atacante no necesita una cuenta: envía un archivo de mensaje preparado a propósito. Cuando la víctima lo abre, Outlook se conecta a una ubicación de red controlada por el atacante sin mostrar el aviso habitual sobre contenido externo. Windows puede entonces intentar iniciar sesión automáticamente en ese servidor y enviar el hash NTLMv2 del usuario.

El atacante puede intentar descifrar ese hash sin conexión para obtener la contraseña, o usarlo para hacerse pasar por el usuario en ataques posteriores. Para ello la víctima tiene que abrir el archivo y estar conectada a la red. Según Microsoft, el panel de vista previa no es un vector de ataque, así que no basta con ver la lista de mensajes.

Microsoft confirma que el fallo se usó en ataques reales, pero no dice quién estaba detrás, contra quién ni a qué escala. BleepingComputer recuerda que fallos parecidos de Outlook ya se explotaron antes, normalmente mediante correos de phishing con adjuntos maliciosos. Según Tenable, el boletín agradece a un investigador que encontró el error con ayuda del modelo Claude de Anthropic.

Quién debe actualizar

Están afectadas las versiones de 32 y 64 bits de Office LTSC 2021, Office LTSC 2024 y Microsoft 365 Apps for Enterprise. La corrección llega con las actualizaciones de Office. Si Windows Update no está configurado para instalar actualizaciones de otros productos de Microsoft, revise Office por separado: en Outlook, abra «Archivo», luego «Cuenta de Office», «Opciones de actualización» y elija «Actualizar ahora».

Las empresas tienen otras prioridades. Tenable destaca fallos críticos de ejecución remota de código en los Servicios de dominio de Active Directory y en Exchange Server, ambos con 8,8 puntos y la etiqueta «explotación más probable», además de un fallo en Schannel, el componente de Windows que gestiona las conexiones cifradas, explotable sin autenticación y con 8,1 puntos. Un error de elevación de privilegios en SharePoint Server alcanza 9,9 puntos, pero solo tiene gravedad «importante».

De dónde salen las cifras

El total depende de quién cuente. Tenable y Cyber Security News contabilizan 1.093 vulnerabilidades publicadas el Patch Tuesday. BleepingComputer suma 142 entradas de Edge y llega a 1.235. Deja fuera otras 108 correcciones que Microsoft publicó antes en noviembre, sobre todo para Mariner, su distribución de Linux, y para Edge. Cerca de la mitad de los fallos son de elevación de privilegios: dan más control a un atacante que ya está en el ordenador.

BleepingComputer califica la entrega de noviembre de récord, aunque según su propio recuento octubre fue mayor, con 1.411 fallos. En cualquier caso, las publicaciones mensuales ya se cuentan por miles. A principios de año eran mucho más pequeñas: 54 correcciones en febrero y 163 en abril, según Tenable. BleepingComputer relaciona el aumento con el uso de la IA por parte de Microsoft para encontrar y corregir vulnerabilidades.

A los usuarios domésticos les bastan dos cosas: instalar las actualizaciones de Windows y Office, y no abrir archivos de mensaje ni adjuntos que no esperaban, aunque parezcan venir de un conocido.