Falla Zero-Day de Outlook Entre 1.094 Defectos Parcheados por Microsoft

Según SecurityWeek, la falla zero-day, rastreada como CVE-2026-124194, ha sido clasificada como un defecto de suplantación de identidad y surge del hecho de que Outlook no alerta a los usuarios antes de una acción potencialmente peligrosa.[1] El medio reporta que Microsoft le asignó una calificación de severidad 'moderada' y una puntuación CVSS de 6,5.[1]Microsoft advierte que "un atacante sin autenticación podría enviar un archivo de mensaje especialmente diseñado y convencer a un usuario de que lo abra,"[2] reporta BleepingComputer. BleepingComputer agrega que la falla fue explotada activamente en ataques para robar hashes de cuentas NTLM.[2]The Register reporta que Microsoft no indicó cuándo comenzaron los ataques, quién está utilizando este error, y qué están haciendo con el acceso[3].Splashtop dice que la corrección no es parte de la actualización acumulativa de Windows (KB5132061), por lo que las organizaciones que implementan solo actualizaciones de Windows permanecen expuestas hasta que se instale la actualización de Office.[4] Según Splashtop, CISA agregó CVE-2026-124194 a su catálogo de Vulnerabilidades Conocidas Explotadas el 10 de noviembre de 2026, con una fecha de remediación vencida el 24 de noviembre[4].The Register reporta dos amenazas zero-click en este lote mensual de correcciones: CVE-2026-116928 y CVE-2026-119958.[3] BleepingComputer sitúa el recuento en un récord de 1.235 defectos[2], mientras que SecurityWeek dice que el lanzamiento de noviembre es menor que el de octubre, cuando Microsoft parcheó un récord de 1.413 vulnerabilidades.[1]SecurityWeek también reporta que las actualizaciones de este mes son también las finales para las ediciones Enterprise y Education de Windows 11 versión 23H2.[1]