Microsoft publicó el 10 de noviembre su actualización mensual de seguridad, que corrige una vulnerabilidad de Outlook que ya está siendo explotada. La falla permite robar el hash de la contraseña de Windows de un usuario cuando abre un archivo malicioso, y CISA la agregó de inmediato a su catálogo de vulnerabilidades explotadas.
De acuerdo con la ficha de Microsoft, tal como la detallan analistas de Splashtop y CSO Online, la vulnerabilidad CVE-2026-124194 se activa cuando un usuario abre en Outlook un archivo preparado por el atacante. En ese momento, el programa se conecta a un servidor controlado por el atacante sin mostrar la advertencia habitual sobre contenido externo y entrega el hash NTLMv2 del usuario. El atacante no necesita una cuenta ni acceso previo al equipo: le basta con enviar el archivo y convencer a la víctima de abrirlo. Microsoft clasifica el problema como una interfaz que no advierte sobre una acción insegura (CWE-356), según Cybersecurity News.
Con ese hash, un atacante puede intentar descifrar la contraseña o reutilizarlo para autenticarse como la víctima en otros servicios de la red. El panel de vista previa no sirve como vía de ataque: la persona tiene que abrir el archivo. Se trata de robo de credenciales, no de ejecución de código: Microsoft califica como alto el impacto en confidencialidad y no asigna impacto directo en integridad ni disponibilidad. La compañía marca la falla como "Exploitation Detected", lo que indica que conoce ataques reales, y señala que no se había divulgado públicamente antes del parche. Microsoft no ha informado quién está detrás de los ataques ni qué tan extendidos están.
El puntaje moderado no refleja el riesgo real. El robo de credenciales suele ser el primer paso de intrusiones mayores, y la falla ya se usa en ataques. La corrección viene en las actualizaciones de Microsoft 365 Apps y Office LTSC, no en la actualización acumulada de Windows, un detalle que puede dejarla fuera de los procesos de parcheo que solo miran el sistema operativo. Las versiones corregidas son la 16.0.14334.21048 en Office LTSC 2021 y la 16.0.17932.21140 en Office LTSC 2024; para Microsoft 365 Apps no hay un número único, y corresponde instalar la actualización de noviembre del canal que use cada empresa.
El mismo paquete trae otras correcciones relevantes para empresas, como fallas críticas en Exchange Server, en el servicio LDAP de Windows (que afecta a controladores de dominio) y en Active Directory. Ese mismo día, Google corrigió en Chrome una vulnerabilidad también explotada (CVE-2026-125350), que CISA agregó a su catálogo.
Outlook es la herramienta de correo de la mayoría de las empresas medianas en Chile, y el correo sigue siendo la puerta de entrada más común de los ataques. Una falla que entrega credenciales con solo abrir un archivo es justo lo que necesita un grupo de ransomware para avanzar dentro de una red. Si la empresa además usa NTLM en su red interna, el hash robado puede servir para moverse entre servidores.
El riesgo práctico está en el detalle de la corrección: muchas organizaciones automatizan los parches de Windows, pero dejan Office para después o dependen de que cada equipo se actualice solo. Además, el volumen del paquete obliga a priorizar.
La Ley 21.663 exige a las empresas reguladas gestionar sus vulnerabilidades y reportar incidentes significativos a la ANCI. Corregir rápido una falla explotada con aviso público es parte de esa diligencia, y cada vez más clientes lo piden a sus proveedores.
