Microsoft ha corregido CVE-2026-124194, una vulnerabilidad de Outlook clásico que ya se ha utilizado en ataques reales y que puede exponer datos de autenticación del usuario. La solución forma parte de las actualizaciones de seguridad del 10 de noviembre de 2026.
El ataque necesita que la víctima abra un archivo de mensaje especialmente preparado en una versión afectada de Outlook, además de disponer de conectividad de red. El panel de vista previa no es un vector para este fallo: el mecanismo descrito requiere abrir el archivo malicioso.
Qué se expone al abrir el archivo
Una vez abierto, el archivo puede provocar que Outlook se conecte a una ubicación controlada por el atacante sin mostrar la advertencia habitual sobre contenido externo. Esa conexión puede exponer el hash de autenticación NTLMv2 del usuario, un dato vinculado a sus credenciales que puede resultar útil para intentar acceder a otros servicios.
Obtener ese hash no equivale a disponer directamente de la contraseña ni demuestra, por sí solo, que se haya entrado en la cuenta. El atacante podría utilizarlo para intentar suplantar al usuario frente a otro servicio o tratar de recuperar la contraseña sin conexión.
A qué Outlook afecta y cómo corregirlo
La vulnerabilidad afecta a las versiones compatibles de Outlook clásico. La información disponible no extiende esa afectación al nuevo Outlook ni a Outlook en la web. Está clasificada como un fallo de suplantación de identidad y tiene una puntuación CVSS de 6,5, utilizada para expresar la gravedad de una vulnerabilidad.
La actuación inmediata para las instalaciones afectadas es instalar la actualización de seguridad correspondiente a su versión de Outlook clásico, incluida en la tanda de parches del 10 de noviembre.
