Outlook (CVE-2026-124194): un fallo ya explotado en el parche de Microsoft de noviembre. Qué versiones actualizar y qué más corrige

El martes 10 de noviembre de 2026 Microsoft publicó su paquete mensual de actualizaciones, uno de los más grandes de su historia: más de mil vulnerabilidades corregidas en Windows, Office, Exchange, SharePoint y SQL Server. De todas ellas, solo una se estaba explotando ya antes del parche, y está en el programa que se usa en casi todas las oficinas: Outlook. Se llama CVE-2026-124194 y la agencia estadounidense CISA la añadió ese mismo día a su catálogo de vulnerabilidades explotadas, con el 24 de noviembre como fecha límite para que sus organismos la corrijan.

No hace falta que Outlook ejecute nada: basta con que se conecte a donde no debe sin avisarte. Lo que se pierde no son ficheros, son las credenciales con las que el atacante puede hacerse pasar por ti.

Qué hace el fallo

Microsoft lo clasifica como suplantación (spoofing) con una gravedad de 6,5 sobre 10, y lo describe como un fallo en el que Outlook no avisa al usuario antes de una acción insegura. En la práctica, el ataque funciona así: el atacante envía un fichero de mensaje preparado y consigue que la víctima lo abra en Outlook. Al abrirlo, Outlook se conecta a un recurso de red controlado por el atacante sin mostrar el aviso habitual de contenido externo, y en esa conexión puede entregar datos de autenticación de Windows que luego sirven para hacerse pasar por el usuario. Algunos análisis concretan que lo que se filtra es el hash NTLMv2 de la cuenta.

Dos matices importantes. Primero, hace falta que el usuario abra el fichero: según los análisis publicados, la vista previa (el panel de lectura) no basta para dispararlo. Segundo, que la nota sea «moderada» no significa que pueda esperar: es el único fallo del mes con ataques reales confirmados, y un ataque que empieza por un correo bien redactado es exactamente lo que más funciona contra una pyme.

A quién afecta

Afecta a Outlook clásico para Windows, el de escritorio, incluido en estas ediciones de Office:

Outlook en la web y el móvil no aparecen como afectados, pero eso no te libra si en el mismo ordenador también usas el Outlook de escritorio. Las versiones antiguas sin soporte (Office 2016 y 2019) no reciben parches: si alguien en tu empresa sigue con ellas, es buen momento para pasar a Microsoft 365 o a una versión con soporte.

Cómo comprobar tu versión

1. En Outlook, ve a Archivo > Cuenta de Office. Ahí verás la edición (Microsoft 365, LTSC 2021, LTSC 2024) y el número de versión.
2. Pulsa «Acerca de Outlook» para ver la compilación completa y compárala con la tabla.
3. Si usas Microsoft 365 Apps, pulsa «Opciones de actualización > Actualizar ahora» y reinicia Outlook al terminar.
4. Si gestionas varios equipos, compruébalo desde la consola de gestión (Intune, WSUS o la herramienta que uses), no equipo a equipo, y verifica la versión después del reinicio.

Qué más corrige el parche de noviembre

El fallo de Outlook es el urgente, pero hay otros que una pyme con servidor propio no debe dejar para más adelante:

• Servidores Windows con Active Directory: fallos críticos (nota 9,8) en Kerberos (CVE-2026-85844), LDAP (CVE-2026-119958), DNS (CVE-2026-88218) y el servidor DHCP (CVE-2026-88243). CISA los considera automatizables, es decir, que un ataque masivo es viable. Si tienes un controlador de dominio, va justo después de Outlook.
• Office: varios fallos críticos de ejecución de código en Outlook, Word, Excel y PowerPoint (por ejemplo CVE-2026-110043 en Outlook o CVE-2026-120005 en PowerPoint). Se cierran con la misma actualización de Office.
• Exchange Server local: un fallo de ejecución remota de código (CVE-2026-118207) que requiere estar autenticado. Si aún tienes Exchange en tus oficinas, actualízalo.
• SharePoint Server y SQL Server: fallos con nota 9,9 y 9,8. Afectan sobre todo a quien los tiene instalados en sus propios servidores, no a quien usa SharePoint Online.

Qué hacer hoy

1. Actualiza Office en todos los equipos, empezando por los de dirección y administración, que son los que más reciben correos de fuera.
2. Actualiza Windows con el parche acumulativo de noviembre y, si tienes servidores, empieza por los controladores de dominio y los servidores de DNS y DHCP.
3. Avisa al equipo: que no abran ficheros de mensaje (.msg, .eml) adjuntos que no esperaban, aunque parezcan venir de alguien conocido.
4. Bloquea en el firewall la salida a internet por SMB (puerto 445). Es una medida de higiene que corta este tipo de fugas de credenciales hacia servidores externos y casi nunca rompe nada en una oficina.
5. Mantén el doble factor activo en Microsoft 365: si un atacante consigue datos de autenticación, el MFA le pone mucho más difícil usarlos para entrar en el correo.

Si alguien abrió un fichero sospechoso

Si en los últimos días alguien abrió un adjunto de mensaje raro en Outlook, cambia la contraseña de su cuenta de Windows y de Microsoft 365, revisa los inicios de sesión recientes de esa cuenta y comprueba que no se hayan creado reglas de reenvío en su buzón, una de las primeras cosas que hace un atacante que entra en un correo.

Conclusión práctica

Este fallo se suma a los de los últimos meses (como el zero-day de Windows de octubre) y repite el mismo patrón: el ataque empieza por un correo y aprovecha que el ordenador no estaba al día. La defensa también es la misma: actualizaciones aplicadas a tiempo en todos los equipos, doble factor y un equipo que sepa reconocer el phishing.

Si en tu empresa nadie se encarga de comprobar que Office y Windows se actualizan de verdad en todos los equipos, lo revisamos contigo: inventario de versiones, parches de noviembre aplicados y actualizaciones automáticas bien configuradas para que el mes que viene no haya que correr.

Fuentes

Información actualizada a 13 de noviembre de 2026.

• Microsoft (MSRC): ficha de CVE-2026-124194
• Qualys: análisis del parche de noviembre de 2026 y escenario de ataque
• Suped: ediciones afectadas y versiones corregidas de Office
• SecurityOnline: fallos críticos de noviembre y orden de prioridad
• CISA: catálogo de vulnerabilidades explotadas (fecha límite 24/11)