Outlook: un archivo manipulado puede filtrar tu hash NTLMv2 y Microsoft confirma que ya se explota

1. Qué ha ocurrido

Microsoft publicó el aviso el 10 de noviembre de 2026 con el título «Microsoft Outlook Spoofing Vulnerability». En sus datos, el fallo figura como explotado y no divulgado públicamente antes del parche, con el estado «Exploitation Detected». Entre todas las vulnerabilidades del archivo oficial de noviembre, es la única marcada como explotada. El mismo día, CISA la añadió a su catálogo de vulnerabilidades explotadas, con plazo hasta el 24 de noviembre para las agencias federales de EE. UU. Sobre el uso en campañas de ransomware, CISA indica «desconocido».

Microsoft no da detalles de los ataques: ni quién los hace, ni a quién, ni desde cuándo. SecurityWeek lo resume así: el aviso de la compañía no ofrece información sobre los ataques observados.

2. Cómo se explota

Según las preguntas frecuentes del aviso de Microsoft, el ataque sigue estos pasos:

1. 1

   El atacante envía un archivo manipulado

   El aviso habla de «un archivo de mensaje especialmente creado» y, en otro punto, de «un archivo de Office malicioso». No indica la extensión ni el formato exacto. El atacante no necesita estar autenticado.
2. 2

   El usuario lo abre en Outlook

   Hay que convencerle de que lo abra: la puntuación CVSS indica que se requiere interacción del usuario. Microsoft aclara que el panel de vista previa no es un vector de ataque.
3. 3

   Outlook se conecta fuera, sin avisar

   Al abrirlo, Outlook puede conectarse a una ubicación de red controlada por el atacante sin mostrar el aviso habitual de contenido externo. Es el fallo que describe la clasificación CWE-356: la interfaz no avisa al usuario de una acción insegura.
4. 4

   El atacante recibe el hash NTLMv2

   Microsoft explica que el fallo revela el hash NTLMv2 del usuario, que el atacante podría usar para autenticarse como él.

El aviso lo llama «suplantación» (spoofing) porque el atacante, con ese dato, podría hacerse pasar por el usuario. No se falsifica el remitente de ningún correo, según SOC Prime.

No es el primer fallo de Outlook de este tipo. El CVE-2023-23397, de marzo de 2023, está en el catálogo de CISA desde el 14 de marzo de 2023, que lo describe como un ataque de reenvío NTLM contra otro servicio para autenticarse como el usuario. NVD le asigna una puntuación de 9,8.

3. Qué versiones corregir

El aviso de Microsoft lista tres productos, en versiones de 32 y de 64 bits. Según los datos oficiales, la única corrección es la actualización de seguridad de Office: no figura ninguna solución provisional.

Para Microsoft 365 Apps, la corrección depende del canal de actualización. Las notas de versión de Microsoft del 10 de noviembre de 2026, que incluyen este CVE entre los de Outlook, indican estas compilaciones. Tu Office debe estar en esa compilación o en una posterior de su misma versión:

Si usas una versión de Office que no está en el aviso (Office 2019 o anteriores, el nuevo Outlook, Outlook en la web o Outlook para Mac), no consta si está afectada. Microsoft indica que el soporte de Office 2019 terminó el 14 de octubre de 2025.

1. 1

   Comprueba qué Office y qué versión tienes

   En Outlook, ve a Archivo y Cuenta de Office. Ahí figuran el producto, la versión y la compilación. Compárala con las tablas anteriores.
2. 2

   Actualiza Office hoy

   En esa misma pantalla, Opciones de actualización y Actualizar ahora. Si tu informático gestiona los equipos, pídele que confirme por escrito que la actualización de noviembre está instalada en todos, porque no llega con Windows Update.
3. 3

   Desconfía de archivos que no esperabas

   No abras archivos de mensaje ni de Office que te lleguen sin que los esperes, aunque parezcan venir de alguien conocido. Es una recomendación general nuestra.
4. 4

   Si alguien abrió un archivo sospechoso

   Según SOC Prime, conviene revisar la actividad de esa cuenta, restablecer la contraseña, cerrar sus sesiones y conservar los registros. Pide ayuda a especialistas si hay dudas.

4. Medidas adicionales y cómo detectarlo

El aviso de Microsoft no recoge más medidas que la actualización. Las siguientes son recomendaciones de terceros o generales, no del aviso:

• Bloquear el tráfico SMB saliente (puerto TCP 445) hacia internet en el cortafuegos. SOC Prime lo plantea como defensa en profundidad. Ojo: Microsoft no dice qué protocolo usa la conexión del ataque; SOC Prime deduce SMB para proponer cómo vigilarlo.
• Auditar y limitar el NTLM saliente con la directiva «Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers», empezando en modo auditoría, según SOC Prime. Migrar a Kerberos donde sea posible.
• Exigir firma SMB y LDAP y protección extendida (EPA) en los servicios internos, que frenan el reenvío del hash, según Rapid7.
• Para quien tiene un equipo técnico: SOC Prime propone vigilar que OUTLOOK.EXE inicie conexiones SMB hacia destinos externos poco después de abrir un archivo, y revisar el registro de NTLM de Windows (Applications and Services Logs, Microsoft, Windows, NTLM). Microsoft no ha publicado indicadores de compromiso (direcciones, dominios o nombres de archivo) y SOC Prime tampoco los da.

5. Otros fallos de Outlook este mes

El archivo oficial de actualizaciones de noviembre incluye otras 19 vulnerabilidades con «Outlook» en el título: 18 de ejecución remota de código y una de divulgación de información. Ninguna figura como explotada ni como divulgada públicamente. Aun así, con la actualización de Office de noviembre las corriges todas a la vez.

6. En España

INCIBE-CERT publicó el 10 de noviembre la ficha del CVE-2026-124194 (puntuación 6,5, gravedad media) y la actualizó el 11. En su aviso en redes, marcado como explotación activa, pide instalar las actualizaciones de noviembre y cita las versiones corregidas de Office LTSC 2021 (16.0.14334.21048) y Office LTSC 2024 (16.0.17932.21140), con la indicación de actualizar a la versión del canal para Microsoft 365 Apps para empresas. Son las mismas que recoge Microsoft. No hemos encontrado datos sobre organizaciones españolas afectadas.

7. Qué sabemos, qué no y qué son hipótesis

8. Qué significa para tu empresa

Si tu equipo usa Outlook de escritorio con Microsoft 365 o con Office 2021 o 2024, tres ideas sirven más allá de este fallo:

• Office se actualiza aparte de Windows. Tener Windows al día no protege Outlook. Hay que saber quién actualiza Office y comprobarlo en cada equipo.
• Un archivo que abres puede ser la puerta. Un ataque que depende de que el usuario abra algo se frena en parte con formación y con costumbres claras de qué abrir y qué no.
• La contraseña es la segunda línea de defensa. Si un hash acaba en manos ajenas, que la contraseña sea larga y única y que haya verificación en dos pasos reduce el daño. Lo explicamos en la guía de ciberseguridad para PYMEs.

Preguntas frecuentes

Información actualizada a 12 de noviembre de 2026 a partir del aviso de Microsoft, las notas de versión de Office, el catálogo de CISA, NVD e INCIBE-CERT. Microsoft no ha dado detalles de los ataques. Si hay novedades, actualizaremos este artículo.