CVE-2026-124194: Vulnerabilidad de Microsoft Office Outlook por Falta de Interacción del Usuario para Acción Potencialmente Insegura

El aviso de seguridad de Microsoft dice que la falla, CVE-2026-124194, permite que un atacante no autenticado envíe un archivo de mensaje especialmente elaborado y convenza a un usuario de abrirlo en una versión afectada de Microsoft Outlook.[2]Microsoft dice que abrir el archivo podría causar que Outlook se conecte a una ubicación de red controlada por el atacante sin mostrar la advertencia de contenido externo habitual[2], lo que podría exponer datos de inicio de sesión que permitan al atacante suplantar al usuario. Microsoft también dice que el Panel de Vista Previa no es un vector de ataque.[2]SOC Prime informa que la falla puede exponer datos de autenticación NTLMv2 y permitir robo de credenciales y suplantación de cuenta[3]. También informa que Microsoft la califica como Moderada con una puntuación CVSS 3.1 de 6.5.[3]Según SOC Prime, el error afecta a Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 y Microsoft Office LTSC 2024.[3]Shattered.io informa que el lanzamiento corrigió 1.094 CVEs el 10 de noviembre[4], y que este fue el único zero-day explotado en el lanzamiento.[4] Shattered.io también señala que Microsoft no ha dicho quién está atacando Outlook, cuándo comenzaron los ataques ni cuán generalizados son[4]. Jack Bicer de Action1, citado en DEV Community, dijo: "El correo electrónico es la puerta más fácil a cualquier empresa, y esta falla convierte un archivo abierto en una identidad robada."[5]Según WindowsForum, Splashtop informa que la corrección se incluye en las actualizaciones de seguridad de Microsoft 365 Apps y Office LTSC 2021 y 2024 y no en la actualización acumulativa de Windows[4].