¿Usas Outlook? Actualiza Office ahora: ya se está explotando una vulnerabilidad (actualización de seguridad de noviembre)

En su actualización de seguridad habitual del 10 de noviembre, Microsoft corrigió una vulnerabilidad de Outlook que ya se está explotando en ataques reales. Esta corrección no llega solo a través de Windows Update; hay que actualizar Office por separado. Si usas Outlook, compruébalo con los pasos que se indican a continuación.

¿En qué consiste la vulnerabilidad?

• Está registrada como CVE-2026-124194. Al abrir un mensaje o archivo de Office enviado por un atacante, Outlook se conecta al servidor del atacante sin mostrar la advertencia habitual de "contenido externo".
• Esto filtra al atacante un tipo de credencial de inicio de sesión de Windows (un hash NTLMv2), con el que puede intentar descifrar la contraseña o usarlo en otros ataques.
• Su puntuación de gravedad es 6,5 (moderada), pero los expertos en seguridad dicen que "no dejes que la puntuación baja te engañe" y recomiendan actualizar rápidamente porque ya se está explotando.
• Entre los productos afectados se incluyen Microsoft 365 Apps y las versiones de Office compatibles, como Office LTSC 2021 y 2024.

Cómo actualizar

• Abre Outlook (o Word o Excel).
• Ve a Archivo → Cuenta de Office (Cuenta en Word y Excel) → Opciones de actualización → Actualizar ahora.
• Si no ves Opciones de actualización, haz clic primero en Activar actualizaciones e inténtalo de nuevo.
• En los equipos del trabajo, las actualizaciones pueden gestionarse de forma centralizada. Si no puedes actualizar por tu cuenta, consulta con tu equipo de TI.

Actualiza también Windows

• Las actualizaciones de este mes corrigen más de 1.000 vulnerabilidades, unas 60 de ellas clasificadas como críticas, incluidas vulnerabilidades explotables de forma remota en Windows Search, LDAP y la red de Xbox.
• Ve a Configuración → Windows Update → Buscar actualizaciones, instálalas y reinicia el equipo.

Mientras terminas de actualizar

• No abras datos adjuntos ni mensajes de personas desconocidas.
• Extrema el cuidado con correos repentinos de "factura", "entrega" o "verifica tu cuenta", aunque el nombre del remitente parezca conocido.

Fuentes: CSO Online – Patch Tuesday de noviembre de 2026 · Malwarebytes: las actualizaciones de Patch Tuesday de Microsoft corrigen una vulnerabilidad de Outlook ya atacada