CVE-2026-124194: Vulnerabilidad de Microsoft Office Outlook por Falta de Interacción del Usuario para Acción Potencialmente Insegura

El comunicado de Microsoft dice que un atacante no autenticado podría enviar un archivo de mensaje especialmente elaborado y convencer a un usuario de abrirlo en una versión afectada de Microsoft Outlook.[2] Según Microsoft, abrir el archivo podría causar que Outlook se conecte a una ubicación de red controlada por el atacante sin mostrar la advertencia de contenido externo habitual, potencialmente revelando información de autenticación[2] que podría usarse para suplantar al usuario. Tenable informa que un ataque exitoso permitiría a un atacante obtener el hash NTLMv2 válido del objetivo, que luego puede usarse para suplantar a ese usuario en ataques posteriores.[1] En respuesta a si el Panel de Vista Previa es un vector de ataque, Microsoft dice "No, el Panel de Vista Previa no es un vector de ataque."[2]SecurityOnline informa que CISA lo agregó a su catálogo de Vulnerabilidades Conocidas Explotadas y dio a las agencias federales hasta el 24 de noviembre para parchearlo.[3] El medio dice el vector CVSS de Microsoft marca la madurez del código de explotación como "Alta", lo que significa que existe código de ataque funcional.[3]Según SecurityOnline, Microsoft ha lanzado correcciones para Microsoft 365 Apps y Office LTSC 2021 y 2024.[3] El medio agrega que Microsoft no ha dicho quién está detrás de los ataques ni cuántos objetivos fueron alcanzados.[3]Tenable informa que el comunicado acredita este descubrimiento a un investigador de seguridad que utilizó Claude, el modelo de lenguaje grande (LLM) de Anthropic[1].