CVE-2026-124194: se explota la suplantación de Outlook: actualización y comprobación de la versión de Office

Microsoft publicó actualizaciones de seguridad para CVE-2026-124194 el 10 de noviembre de 2026. La vulnerabilidad de Microsoft Office Outlook permite a un atacante no autenticado realizar suplantación a través de la red si hay interacción del usuario. Se ven afectados Microsoft 365 Apps for Enterprise y Microsoft Office LTSC 2021 y 2024. NVD califica la vulnerabilidad con CVSS 3.1: 6.5 (Media); Microsoft indica que se ha detectado explotación y CISA la añadió al catálogo KEV el 10 de noviembre de 2026. Hay actualizaciones disponibles.

Lo más importante de un vistazo

Versiones afectadas y actualizaciones

Para Microsoft 365 Apps for Enterprise, Microsoft enumera, entre otras, estas compilaciones el 10 de noviembre de 2026: Current Channel 20527.20196, Monthly Enterprise Channel 20527.20194, 20430.20264 y 20326.20320, así como Semi-Annual Enterprise Channel 20527.20192, 20430.20262 y 20326.20318. La compilación aplicable a un dispositivo depende de su canal de actualización. Las notas de la versión de seguridad de Office asignan CVE-2026-124194 a Outlook.

Lo que se sabe sobre la explotación

Microsoft incluye CVE-2026-124194 en las actualizaciones de seguridad del 10 de noviembre de 2026 como un caso con explotación detectada. CISA considera que la vulnerabilidad está siendo explotada activamente y la añadió al catálogo KEV el mismo día. Las entradas consultadas de Microsoft, NVD y CISA no contienen información sobre atacantes, organizaciones objetivo, campañas de ataque ni sobre el proceso técnico de explotación.

CISA marca el uso en campañas de ransomware como «Unknown». CISA no exige una clasificación forense conforme a BOD 26-04 para esta entrada KEV.

Medidas inmediatas

1. Registrar las versiones de Office: Determine el canal de actualización y la compilación instalada para Microsoft 365 Apps for Enterprise. Compare la versión de Office LTSC 2021 y 2024 con las compilaciones corregidas de la tabla.

2. Instalar las actualizaciones de seguridad: Lleve Microsoft 365 Apps for Enterprise al nivel de seguridad del 10 de noviembre de 2026. Actualice Office LTSC 2021 como mínimo a la compilación 14334.21048 y Office LTSC 2024 como mínimo a la compilación 17932.21140.

3. Documentar el estado de actualización: Registre para cada dispositivo el producto, la arquitectura, el canal de actualización, la compilación actual y el momento de la actualización. Esto permite comprobar el estado de las instalaciones de Office afectadas.

4. Tratar las instalaciones que no se puedan actualizar: CISA exige a los organismos federales de EE. UU. aplicar las medidas del fabricante antes del 24 de noviembre de 2026 o dejar de usar el producto si no hay medidas disponibles. Para todas las organizaciones, esto es motivo para sustituir o retirar del servicio con rapidez las instalaciones de Office que no se puedan actualizar.

Las fuentes del fabricante y de las autoridades consultadas no mencionan una solución técnica alternativa, un cambio de configuración ni una restricción de una interfaz de administración de Outlook. Por ello, la medida frente a esta vulnerabilidad es actualizar la instalación de Office afectada.

Comprobación de vulneración

Microsoft, NVD y CISA no publican en las fuentes consultadas para CVE-2026-124194 indicadores de compromiso, nombres de archivos, direcciones IP ni firmas de registros. Por tanto, a fecha de 11 de noviembre de 2026 no es posible prescribir una búsqueda de IOC basada en fuentes.

No obstante, compruebe el estado de actualización de todas las instalaciones de Office afectadas y conserve los registros disponibles de seguridad de endpoints y correo electrónico conforme a su política de retención. Las fuentes disponibles no describen ninguna puerta trasera ni pasos de limpieza tras una explotación exitosa. Una actualización corrige la vulnerabilidad, pero no demuestra si una operación concreta ya fue objeto de abuso.

Contexto

Se ven afectadas las organizaciones y personas que utilizan Outlook dentro de Microsoft 365 Apps for Enterprise u Office LTSC 2021 o 2024. Según el vector CVSS, la vulnerabilidad requiere interacción del usuario, pero no exige privilegios y puede explotarse a través de la red. La inclusión en el catálogo KEV de CISA muestra que se conoce su explotación y que la actualización es prioritaria.