La única vulnerabilidad explotada del Patch Tuesday de noviembre puntúa 6,5 y entrega el hash NTLMv2 desde Outlook

De las más de mil vulnerabilidades que Microsoft corrigió el 10 de noviembre en su actualización mensual (Patch Tuesday), 63 de ellas críticas según el recuento de CSO Online, solo una figura como explotada, y no es ninguna de las cuatro que puntúan 9,8. Se trata de la CVE-2026-124194, un fallo de Outlook con una nota CVSS de 6,5 que permite a un atacante quedarse con el hash NTLMv2 de quien abre un archivo de mensaje preparado. CISA la incorporó ese mismo día a su catálogo KEV.

La nota moderada tiene una explicación técnica: la víctima tiene que abrir el archivo y el impacto que mide CVSS se limita a la confidencialidad. Lo que esa cifra no mide es lo que vale el hash una vez robado, que en una red con NTLM activo puede ser mucho. Nick Carroll, de Nightwing, advirtió a CSO Online de que una puntuación baja no equivale a un riesgo bajo.

¿Qué se puede explotar y qué se sabe del ataque?

La ficha de Microsoft clasifica el fallo como suplantación y lo asocia a CWE-356: la interfaz no advierte al usuario de una acción insegura. Según el resumen de Qualys, un atacante sin credenciales envía un archivo de mensaje manipulado y convence a la víctima de abrirlo. Outlook se conecta entonces a una ubicación de red bajo control del atacante sin mostrar el aviso habitual sobre contenido externo.

Los productos afectados son Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024. Las compilaciones corregidas de LTSC son la 16.0.14334.21048 (2021) y la 16.0.17932.21140 (2024), según recogen SecurityOnline y Braindetox a partir del registro CVE. En Microsoft 365 Apps, la corrección llega con las compilaciones del 10 de noviembre de cada canal, detalladas en las notas de seguridad de Microsoft 365 Apps.

Microsoft no ha dicho quién explota el fallo, desde cuándo ni contra cuántos objetivos, y tampoco ha publicado indicadores de compromiso. Se explotaba antes de que existiera parche y, según la ficha, no se había divulgado: es un día cero (zero-day) en sentido estricto.

¿Qué fallos de Outlook han expuesto antes el hash NTLM?

Al menos dos desde 2023. En 2023, con CVE-2023-23397, el ataque se activaba con solo recibir el correo; según Unit 42 de Palo Alto Networks, citado por SecurityWeek, APT28 usó ese fallo contra al menos 30 organizaciones de 14 países. En 2024, el análisis de Check Point Research mostró cómo un enlace manipulado esquivaba la Vista protegida. Ahora hace falta que alguien abra un archivo, y aun así alguien lo está aprovechando.

¿Cómo viaja el hash desde Outlook hasta el atacante?

El mecanismo de base es antiguo. Cuando Windows accede a un recurso situado en una ruta de red, por SMB o por WebDAV, intenta autenticarse de forma automática con las credenciales del usuario. Si el servidor del otro extremo pertenece al atacante, este recibe la respuesta de desafío NTLMv2. No es la contraseña, pero tiene dos usos: retransmitirla en el momento a otro servicio que acepte NTLM sin firma ni protección de canal, lo que se conoce como relay, o intentar descifrarla sin conexión para obtener la contraseña, algo que funciona sobre todo con contraseñas cortas o comunes.

Outlook incorpora controles para que un mensaje no dispare esas conexiones sin permiso, y el aviso de contenido externo es uno de ellos. La actualización corrige un caso en que ese aviso no aparece. Microsoft precisa que el panel de vista previa no es vía de ataque, lo que limita el escenario a la apertura del archivo.

El rastro esperable es una conexión saliente desde el puesto hacia una IP externa por TCP 445 o, si SMB está filtrado, una petición WebDAV por HTTP o HTTPS gestionada por el servicio WebClient de Windows. Más adelante, en la cuenta afectada, pueden aparecer inicios de sesión NTLM de red desde orígenes que no encajan con su patrón, una señal habitual de retransmisión o de movimiento lateral.

¿Quién está más expuesto?

Todo equipo con Outlook clásico de escritorio en una versión afectada, aunque el riesgo no se reparte igual. Una oficina cuya salida a internet filtra el puerto 445 corta la vía SMB directa. Un portátil en casa, en un hotel o en la red de invitados de un cliente carece de ese filtro, y por eso el trabajo remoto concentra buena parte de la exposición.

Importa también lo que el atacante pueda hacer con el hash. Si los servidores exigen firma SMB, si LDAP exige firma y vinculación de canal y si los servicios web internos usan protección ampliada de autenticación, retransmitirlo resulta mucho más difícil. Si la cuenta es de un administrador con una contraseña corta, el incidente se agrava considerablemente. Office 2019 y las ediciones minoristas no figuran en la lista de productos y la ficha no aclara si están afectadas, pero las notas de seguridad del 10 de noviembre incluyen compilaciones para Office 2019 por volumen (10417.20236) y para Office 2021 y 2024 minoristas (20527.20196), que deben instalarse igualmente.

La entrada de CVE-2026-124194 en KEV la sube al principio de la cola, con el criterio que desarrollamos en cómo priorizar con KEV, EPSS y SSVC. El zero-day de Exchange en OWA que analizamos este verano ya mostró hasta dónde puede llegar un atacante con que alguien abra un correo.

¿Cómo se detecta y se contiene el ataque?

Con búsquedas basadas en el comportamiento, porque Microsoft no ha publicado indicadores. Estas consultas KQL para Microsoft Defender XDR sirven como punto de partida en organizaciones con EDR desplegado. La primera localiza conexiones SMB salientes hacia internet en los últimos 30 días. Las abre el sistema operativo y no outlook.exe, así que la consulta no filtra por proceso y los resultados deben cruzarse con la actividad de Outlook en el mismo intervalo:

DeviceNetworkEvents | where Timestamp > ago(30d) | where RemotePort in (139, 445) and RemoteIPType == "Public" | project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessAccountName, RemoteIP, RemotePort, ActionType

La segunda detecta la activación del cliente WebDAV, que puede indicar acceso a rutas remotas por HTTP. Da ruido donde se usa WebDAV contra SharePoint, así que su valor está en cruzarla en el tiempo con la apertura de un adjunto:

DeviceProcessEvents | where Timestamp > ago(30d) | where FileName =~ "rundll32.exe" and ProcessCommandLine has "davclnt.dll" | project Timestamp, DeviceName, AccountName, ProcessCommandLine, InitiatingProcessFileName

La tercera lista adjuntos de tipo mensaje (.msg o .eml) llegados desde fuera. Es una hipótesis de trabajo: Microsoft no detalla el formato exacto y la ficha habla también de un "archivo de Office", así que no se descartan otros formatos:

EmailAttachmentInfo | where Timestamp > ago(30d) | where FileName endswith ".msg" or FileName endswith ".eml" | join kind=inner (EmailEvents | where EmailDirection == "Inbound") on NetworkMessageId, RecipientEmailAddress | project Timestamp, SenderFromAddress, RecipientEmailAddress, FileName, Subject

Para la fase siguiente, la retransmisión del hash, hay que fijarse en las cuentas que inician sesión por NTLM en red desde muchos orígenes distintos. Con Defender for Identity, la misma lógica puede aplicarse a IdentityLogonEvents, que cubre los controladores de dominio:

DeviceLogonEvents | where Timestamp > ago(30d) | where Protocol =~ "NTLM" and LogonType == "Network" | summarize Origenes = dcount(RemoteIP), Equipos = dcount(DeviceName) by AccountName | order by Origenes desc

Si aparece una conexión sospechosa, la contraseña del usuario debe tratarse como expuesta: cambiarla, revisar sus inicios de sesión recientes y comprobar que no se ha usado contra otros servicios. Las cuentas privilegiadas van primero. Las cuentas señuelo en Active Directory ayudan a detectar a quien intenta reutilizar credenciales dentro de la red, y una búsqueda proactiva de amenazas (threat hunting) acotada a estas señales ayuda a revisar las semanas previas al parche.

¿Hay alternativas mientras no se pueda parchear?

No oficiales: la corrección es la actualización de Office del 10 de noviembre, y la ficha de Microsoft no recoge ninguna solución alternativa. En Microsoft 365 Apps, el problema puede estar en el canal de actualización. Un equipo con las actualizaciones frenadas por una directiva antigua, o fijado a una versión determinada, puede seguir sin la compilación corregida aunque la consola indique que Office se actualiza solo. Hay que comprobar la compilación instalada en cada equipo.

Mientras tanto, estas medidas reducen la exposición, aunque Microsoft no las presenta como mitigación específica de este CVE:

• El tráfico saliente TCP 445 y 139 hacia internet se puede bloquear en el perímetro y, para los equipos que trabajan fuera, en el cortafuegos local del puesto, que viaja con el portátil.
• En los equipos que no necesiten WebDAV, el servicio WebClient puede deshabilitarse.
• Las cuentas privilegiadas pueden pasar al grupo Protected Users, que les impide autenticarse con NTLM, en línea con el modelo de niveles de Active Directory.
• La directiva "Seguridad de red: restringir NTLM: tráfico NTLM saliente a servidores remotos" admite un modo de auditoría que debe activarse antes de plantear el bloqueo. El proceso completo está en la guía para retirar NTLM sin romper la red.
• Con firma SMB obligatoria, firma y vinculación de canal en LDAP y protección ampliada de autenticación, un hash robado es mucho más difícil de retransmitir.

Ninguna de estas medidas sustituye al parche, y la tercera y la quinta pueden romper aplicaciones antiguas si se aplican sin inventario previo. Un programa de gestión de vulnerabilidades que mida la compilación de Office por equipo, y no solo el estado de Windows Update, permite saber qué equipos siguen expuestos.

¿Qué vigilar en los próximos días?

Primero, si Microsoft o algún equipo de inteligencia publica atribución e indicadores, que permitirían afinar las búsquedas anteriores. Segundo, el 24 de noviembre, la fecha que CISA ha fijado para las agencias federales estadounidenses y una referencia útil para toda organización europea.

Tercero, quién encontró el fallo. Según SecurityOnline, Microsoft acredita el hallazgo a Benoit Sevens, que trabajó con Claude, el modelo de Anthropic, y a un investigador que firma como nono. Satnam Narang, de Tenable, comentó a CSO Online que la IA llevaba casi todo el año "construyendo pajares más grandes" en cada Patch Tuesday y que esta parece la primera vez que encuentra una aguja. Es una sola vulnerabilidad y no autoriza a sacar tendencias, pero puede desplazar un debate que hasta ahora giraba sobre el volumen.

Para quien gestiona parches, noviembre deja la cola ordenada al revés de lo que sugieren las notas. Primero va un 6,5 que llega por correo y ya está en uso; después, los fallos de 9,8 en LDAP y Exchange, que Microsoft no marca como explotados, aunque afectan a controladores de dominio y servidores de correo. Estas comprobaciones de Outlook e identidad son también el punto de partida de nuestro servicio de seguridad de Microsoft 365.

Fuentes y metodología: este análisis se basa en la información pública de Microsoft, CISA, Qualys, SecurityOnline, Braindetox, CSO Online, SecurityWeek y Check Point Research, con datos a 14 de noviembre de 2026. Microsoft no ha publicado atribución ni indicadores de compromiso, y la situación puede cambiar.

Aviso: las consultas KQL y las medidas de bastionado son orientativas y se ofrecen con fines defensivos. Deben probarse antes de aplicarlas en producción, adaptando nombres, plazos y umbrales a cada entorno; restringir NTLM o deshabilitar WebDAV sin auditoría previa puede interrumpir aplicaciones.