Microsoft corrige un zero-day en Outlook que filtra hashes NTLM

Microsoft publicó el martes (10) el paquete de seguridad de noviembre con una única vulnerabilidad ya explotada por atacantes: la CVE-2026-124194, un bug de suplantación (spoofing) en Outlook que entrega al atacante el hash NTLM de la cuenta de la víctima. La propia Microsoft clasifica esta vulnerabilidad como "Moderada", y es precisamente esta calificación que los investigadores piden ignorar.

Según el análisis de Rapid7, basta con abrir un archivo de mensaje preparado por el atacante para que Outlook se conecte silenciosamente a un servidor controlado por él y revele el hash NTLMv2 del usuario. Dustin Childs, de Zero Day Initiative, describe el mismo comportamiento y destaca un detalle operativo: la conexión ocurre sin el aviso de contenido externo que normalmente alerta al usuario. Para Childs, degradar la prioridad del parche debido a la baja calificación es un error.

Por qué un hash vale más que lo que sugiere la calificación

Un hash NTLMv2 no es una contraseña, pero funciona como clave en entornos Windows que aún aceptan el protocolo. Con él, el atacante puede intentar romper la contraseña fuera de línea o retransmitir la autenticación a otros servicios de la red, técnica conocida como relay. Rapid7 afirma que la puntuación oficial subestima el valor de la vulnerabilidad tanto para criminales comunes como para operaciones dirigidas.

El precedente existe. La CVE-2023-23397, otra vulnerabilidad de Outlook que filtraba credenciales NTLM, fue explotada como zero-day desde al menos abril de 2022, casi un año antes del parche. La diferencia ahora es que la víctima necesita abrir el archivo; en 2023 solo era necesario recibir el mensaje. La exigencia de interacción reduce el alcance de un ataque masivo, pero pesa poco en una campaña dirigida a unas pocas bandejas de entrada de ejecutivos.

El volumen que presiona a los equipos de parcheo

El tamaño del paquete en sí se convirtió en noticia. Tenable contabiliza 1.093 vulnerabilidades corregidas, 63 de ellas clasificadas como críticas. BleepingComputer llega a 1.235 vulnerabilidades, un número que, según la publicación, sigue otra metodología de conteo. Otras estimaciones se quedan en 1.094. Por cualquier parámetro, es un volumen que ningún equipo de parcheo puede probar ítem por ítem antes de aplicar.

Entre las críticas, tres requieren atención inmediata de quienes administran infraestructura. La CVE-2026-119952 permite la ejecución remota de código en Schannel, el componente de Windows que implementa TLS, y recibió una puntuación CVSS de 8,1 según Cisco Talos, con alta complejidad de ataque. En la guía de actualizaciones de Microsoft, la vulnerabilidad aparece con severidad máxima Crítica, etiqueta que Tenable también utiliza en su lista de prioridades. La Zero Day Initiative clasifica como zero-click otras dos: la CVE-2026-116928, en Windows Search, y la CVE-2026-119958, en el LDAP de Windows. Las vulnerabilidades zero-click no requieren ninguna acción del usuario, lo que las convierte en candidatas naturales a ser explotadas masivamente en cuanto surja una prueba de concepto pública.

Hasta el cierre de este artículo, los análisis consultados no indicaban explotación activa de las vulnerabilidades críticas, solo de la CVE-2026-124194 en Outlook.

Dónde cae el riesgo en la operación

La orden de prioridad que se repite en los análisis de Rapid7, Tenable y Splashtop es la misma: Outlook primero, controladores de dominio y servidores de autenticación después. Splashtop recomienda aplicar las correcciones de Active Directory y Schannel en hasta 72 horas en los servidores que autentican usuarios.

El peso de este calendario no se distribuye por igual. En Estados Unidos y Europa, muchas grandes empresas externalizan la ventana de parcheo a proveedores de servicios administrados, muchos de ellos con centros de entrega en India, que operan con ventanas de actualización definidas por contrato. Un zero-day etiquetado como "Moderado" corre el riesgo de caer en la fila común de estas cadenas, a menos que el cliente reclassifique la vulnerabilidad manualmente. En Brasil, donde los bancos y aseguradoras operan bajo las reglas de seguridad cibernética del Banco Central y de Susep, la exigencia de tratar vulnerabilidades explotadas con prioridad le da al CISO una base formal para acelerar el parche, pero la misma dependencia de proveedores externos se repite.

El punto común entre estos mercados es contractual, no técnico. Los contratos de servicios administrados que vinculan el plazo de corrección a la severidad declarada por el fabricante dejan una brecha cada vez que Microsoft asigna una calificación baja a una vulnerabilidad ya explotada. El paquete de noviembre es una buena prueba para descubrir si los acuerdos firmados por la empresa utilizan como disparador la explotación activa o solo la etiqueta del fabricante.