CVE-2026-124194: suplantación por falta de interacción del usuario en Microsoft Office Outlook

CVE-2026-124194: Microsoft Office Outlook permite suplantación por falta de interacción del usuario

CISA incorporó el CVE-2026-124194 al catálogo Known Exploited Vulnerabilities (KEV) el 10 de noviembre de 2026, lo que confirma que la falla está siendo explotada activamente. Afecta a Microsoft Office (Outlook), tiene una puntuación CVSS 6.5 (MEDIA) y está clasificada como CWE-356 (Product UI does not Warn User of Unsafe Actions). El uso en campañas de ransomware figura como desconocido.

Análisis Técnico

Según la descripción de CISA, Outlook contiene una vulnerabilidad de falta de interacción del usuario ante una acción potencialmente insegura: la aplicación ejecuta o permite una operación riesgosa sin advertir ni solicitar confirmación explícita. Un atacante no autorizado puede aprovecharla a través de la red para realizar suplantación (spoofing).

Vector de Ataque

Acceso: remoto, vía red, sin credenciales previas.
Tipo de impacto: suplantación de identidad o de contenido; no se ha informado ejecución remota de código.
Debilidad: CWE-356, ausencia de advertencia al usuario frente a una acción insegura.
Uso típico: este tipo de fallas se encadena con phishing o robo de credenciales, ya que elimina la fricción que normalmente alertaría a la víctima.

Los detalles de explotación no han sido publicados en las fuentes oficiales consultadas; recomendamos revisar el aviso del fabricante para el mecanismo exacto.

Impacto Operacional y de Seguridad

Integridad: posibilidad de que el usuario confíe en mensajes o acciones falsificadas.
Ingeniería social: facilita campañas de phishing dirigidas contra usuarios de correo corporativo.
Cumplimiento: al estar en KEV, las agencias federales de EE. UU. (FCEB) deben remediar antes del 24 de noviembre de 2026.

Productos Afectados

Vendor: Microsoft. Producto: Office (Outlook). Las versiones y compilaciones exactas afectadas deben consultarse en la guía de actualización de Microsoft (MSRC).

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las actualizaciones y mitigaciones del fabricante indicadas en MSRC.
Cumplir con la directiva BOD 26-04 de CISA y sus requisitos de Forensics Triage.
Evaluar la exposición a Internet de cada activo y priorizar los expuestos.
Si no hay mitigaciones disponibles, discontinuar el uso del producto afectado.
Reforzar la concienciación sobre phishing y revisar reglas de filtrado de correo.
Buscar indicios de actividad sospechosa en los registros de correo y endpoints.