Osegi
Seguridad·2 min de lectura

Fallo de Outlook CVE-2026-124194: se explotó antes del parche

Un archivo de mensaje manipulado podía conectar Outlook con un servidor atacante sin avisar y filtrar datos de acceso de Windows. Microsoft ya lo corrigió.

A laptop showing the Outlook email client with a red security warning shield overlaid on the screen.
Imagen: ギズモード・ジャパン
SUMODialoediviewergiftdetect

Abrir en Outlook un archivo de mensaje manipulado podía enviar en silencio datos de autenticación de Windows a un servidor del atacante, sin la advertencia habitual. Microsoft ha corregido esta vulnerabilidad de suplantación, CVE-2026-124194, que ya se explotaba antes de que llegara el parche.

La corrección llegó con la actualización de seguridad de noviembre, publicada el 10 de noviembre (hora de EE. UU.). Según el aviso del JPCERT/CC de Japón, Outlook se conecta a un servidor controlado por el atacante sin mostrar el aviso normal. Lo que se filtra es información que Windows usa para la autenticación de red, y quien la obtiene puede, en ciertos casos, hacerse pasar por la víctima.

No es el típico correo suplantado con remitente falso. Ocurre dentro del ordenador de quien recibe el archivo.

¿Qué versiones de Outlook están afectadas?

Las versiones sin parchear de Outlook clásico para Windows incluidas en Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024.

¿Cómo protegerse del fallo CVE-2026-124194?

Instala las últimas actualizaciones de seguridad de Office, Outlook incluido, desde Windows Update o Microsoft Update. En Outlook clásico, a veces puede hacerse a mano en Archivo, Cuenta de Office, Opciones de actualización, Actualizar ahora. La IPA japonesa advierte de que el daño podría ampliarse y pide aplicar la actualización cuanto antes. Si tu equipo lo gestiona la empresa, sigue las indicaciones del departamento de TI.

¿Por qué tantos parches?

La actualización de este mes corrige 1.093 vulnerabilidades por número CVE, 63 de ellas críticas. En noviembre de 2021 fueron 55, y la firma Tenable contó 1.130 en todo 2025.

El NCSC británico dijo en mayo de 2026 que la IA acelera el hallazgo de vulnerabilidades y pidió prepararse para oleadas de parches. El tiempo entre la publicación de un fallo y su explotación ya se mide en días y casi seguro se acortará. Quien defiende debe tapar todos los agujeros; al atacante le basta con uno.

Apps que merecen la pena

SUMO: el puzle de números

Toca las casillas correctas, suma y alcanza el objetivo. Fácil de aprender, difícil de dominar. Gratis, para todas las edades.

Etiquetas:outlookmicrosoftcve-2026-124194vulnerabilitywindowssecurity update

Más de este día

Ver todas →

Más en: Seguridad

Ver todas →