CVE-2026-124194 en Microsoft Outlook: suplantación ya explotada

CVE-2026-124194 en Microsoft Outlook: suplantación ya explotada

Qué es y a quién afectaMicrosoft Office Outlook arrastra un fallo registrado como CVE-2026-124194, con nombre oficial «Microsoft Office Outlook Missin...

Qué es y a quién afecta

Microsoft Office Outlook arrastra un fallo registrado como CVE-2026-124194, con nombre oficial «Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability». En palabras llanas: la interfaz del cliente de correo no avisa al usuario cuando una acción resulta potencialmente peligrosa, y ese silencio lo aprovecha un atacante no autenticado para llevar a cabo una suplantación a través de la red. Según la NVD del NIST, el producto no advierte de acciones inseguras, lo que permite ese engaño remoto.

Sobre de correo abierto con otro sobre casi idéntico detrás y una luz de aviso apagada, ilustrando la suplantación en Outlook

El fallo se clasifica como CWE-356 y tiene una gravedad CVSS 3.1 de 6.5 (MEDIUM), con vector AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N. Traducido a la práctica: el ataque llega por red, no requiere credenciales y sí cierta interacción de la víctima, pero el impacto sobre la confidencialidad es alto. No es un fallo crítico, y conviene decirlo con claridad: es una vulnerabilidad media, aunque su explotación real la vuelve mucho más relevante de lo que sugiere la puntuación.

Las versiones afectadas que recoge la NVD son Microsoft 365 Apps, Microsoft Office 2021 y Microsoft Office 2024. Es decir, buena parte del parque ofimático de cualquier pyme española: despachos de Lleida, comercios online de Barcelona, gestorías de Girona o talleres de Tarragona que trabajan el correo desde Outlook de escritorio. Si tu equipo usa Microsoft 365 en el día a día, estás en el punto de mira.

Por qué es urgente: ya se explota en ataques reales

La gravedad media no debe llevar a la calma. El catálogo KEV de CISA incluyó CVE-2026-124194 el 10 de noviembre de 2026, la misma fecha de publicación en la NVD, al confirmar que se trata de una vulnerabilidad explotada activamente en ataques reales. Ese detalle cambia por completo la prioridad: no hablamos de una debilidad teórica pendiente de que alguien la descubra, sino de un fallo que ya está en uso.

Como consecuencia, CISA fijó a las agencias federales de EE. UU. un plazo de corrección que vence el 24 de noviembre de 2026. La acción exigida pasa por aplicar las mitigaciones según las instrucciones del fabricante, en línea con la directiva BOD 26-04 sobre priorización de actualizaciones de seguridad por riesgo, y valorar la exposición a internet de cada activo. En el material consultado no consta uso en campañas de ransomware, pero eso no rebaja la urgencia: la suplantación es la puerta de entrada clásica al phishing dirigido y al robo de credenciales.

Qué hacer hoy

  • Comprueba si usas el producto y en qué versión. Revisa si tu organización trabaja con Microsoft 365 Apps, Office 2021 u Office 2024. Un inventario rápido de equipos y versiones evita sustos y permite priorizar.
  • Aplica la actualización o mitigación del aviso del fabricante. El punto de referencia es el aviso de Microsoft en MSRC para CVE-2026-124194. No inventes parches ni des por hecho qué versión lo corrige: sigue lo que indique ese aviso oficial y despliega los parches de seguridad que correspondan a tu canal de actualización.
  • Revisa indicios de intrusión. Como el fallo permite suplantación, busca correos sospechosos, respuestas a mensajes que nadie envió, reglas de reenvío automático no autorizadas o accesos anómalos a buzones. Cualquier señal extraña merece revisión inmediata.
  • Reduce lo expuesto a internet. Limita los servicios de correo y paneles accesibles desde fuera, exige doble factor en las cuentas y controla qué dispositivos pueden conectarse a los buzones corporativos.
  • Forma al equipo. Al tratarse de un fallo de interacción del usuario, la concienciación frente al phishing sigue siendo una capa de defensa barata y eficaz.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas con equipos de IT pequeños que no pueden estar pendientes de cada CVE que aparece. Nuestro enfoque de ciberseguridad para empresas consiste en detectar y cerrar vulnerabilidades antes de que las exploten: auditorías de seguridad y pentesting para saber qué hay expuesto, hardening de servidores y revisión de configuraciones, monitorización y respuesta a incidentes cuando algo se mueve, mantenimiento y actualización de WordPress, PrestaShop y Joomla, y reparación de webs hackeadas.

En un caso como CVE-2026-124194, el trabajo empieza por saber qué versiones de Microsoft Office corren en tu organización y qué servicios de correo están abiertos a internet. A partir de ahí, aplicamos las actualizaciones siguiendo el aviso del fabricante, endurecemos el entorno y dejamos montada una vigilancia que avise a tiempo. Si prefieres no depender de estar al tanto de cada boletín, ese es exactamente el tipo de tarea que asumimos por ti.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.