La vulnerabilidad CVE-2026-124194 ya está siendo aprovechada por ciberdelincuentes. El problema se activa al abrir archivos manipulados y podría facilitar el acceso no autorizado a cuentas y sistemas corporativos.
Microsoft confirmó que una vulnerabilidad de día cero en Outlook está siendo utilizada en ataques informáticos para obtener información de autenticación de usuarios de Windows. La falla permite que los delincuentes capturen datos de seguridad que podrían utilizar para hacerse pasar por las víctimas y acceder a recursos protegidos.
El problema, identificado como CVE-2026-124194, afecta a versiones vulnerables del cliente de correo electrónico y puede aprovecharse mediante un archivo especialmente preparado. Cuando el usuario lo abre, Outlook puede establecer una conexión con un servidor controlado por el atacante sin mostrar la advertencia de seguridad habitual.
La vulnerabilidad compromete los mecanismos de autenticación de Windows y representa un riesgo especialmente importante para las organizaciones que utilizan Outlook como herramienta de trabajo. Microsoft confirmó que ya se registraron intentos de explotación y distribuyó una corrección como parte de sus actualizaciones de seguridad de noviembre de 2026.
Cómo funciona la vulnerabilidad de Outlook que permite robar datos de autenticación
El ataque comienza con el envío de un archivo de mensaje de Outlook, identificado por la extensión .msg, que fue manipulado para aprovechar la vulnerabilidad. Para que funcione, el delincuente necesita convencer a la víctima de abrirlo en una versión afectada del programa.
Una vez que el archivo se ejecuta, Outlook puede conectarse automáticamente a una ubicación de red externa preparada por el atacante. El problema es que el programa no muestra la advertencia que normalmente debería informar al usuario sobre esa conexión.
Durante el proceso, puede quedar expuesto el hash de autenticación NTLMv2, un dato utilizado por Windows para verificar la identidad de los usuarios al acceder a determinados servicios y recursos de red.
Aunque este hash no equivale a obtener directamente la contraseña original, su captura puede permitir que un atacante intente autenticarse como la víctima. Según las condiciones de seguridad de la red, esto podría facilitar accesos no autorizados a sistemas y recursos corporativos.
Un aspecto importante es que la vulnerabilidad requiere la intervención del usuario. Microsoft aclaró que la simple visualización del mensaje en el panel de vista previa de Outlook no activa el ataque. Para aprovechar la falla, es necesario que la víctima abra el archivo manipulado.
Este mecanismo también complica la identificación del peligro, ya que el usuario puede encontrarse con un archivo aparentemente legítimo sin recibir ninguna advertencia de que el programa está estableciendo una conexión externa capaz de comprometer sus datos de autenticación.
Cómo proteger Outlook y evitar el robo de credenciales de Windows
Microsoft incluyó una corrección para esta vulnerabilidad en las actualizaciones de seguridad del 10 de noviembre de 2026. Por eso, la principal recomendación es instalar los parches correspondientes y comprobar que las versiones de Outlook utilizadas estén actualizadas.
Además, existen otras medidas que pueden reducir los riesgos asociados con este tipo de ataques:
- Evitar archivos sospechosos: no abrir mensajes con extensión .msg cuando provengan de remitentes desconocidos o lleguen de manera inesperada, incluso si parecen relacionados con una actividad laboral.
- Revisar los mecanismos de autenticación: evaluar las políticas de uso de NTLM y restringir las conexiones salientes innecesarias que puedan exponer información de seguridad.
- Fortalecer la protección de las cuentas: implementar autenticación multifactor (MFA) y controles adicionales de identidad, especialmente en los accesos a sistemas corporativos.
- Mantener los sistemas actualizados: establecer procedimientos de gestión de vulnerabilidades que permitan identificar equipos afectados e instalar las correcciones disponibles.
En entornos empresariales, también resulta importante controlar las conexiones de red y revisar las configuraciones de autenticación que podrían facilitar el uso indebido de credenciales comprometidas. La autenticación multifactor proporciona una protección adicional, aunque no reemplaza la instalación del parche ni impide por sí misma la exposición de hashes NTLMv2.
El caso demuestra cómo una vulnerabilidad en un programa de uso cotidiano puede afectar la seguridad de otros sistemas conectados. Por eso, la protección de las identidades digitales, la actualización del software y el control de los accesos siguen siendo aspectos fundamentales para reducir la exposición de usuarios y organizaciones a los ciberataques.