CVE-2026-124194

Media (6.5)⚠ Explotación activaPoC

Parchear yaExplotación activa confirmada por CISA el 10 nov 2026 · plazo federal en EE. UU. 24 nov 2026

Aviso del fabricante· msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194

Gravedad6.5Media · CVSS 3.1

Probabilidad de explotación1.62 %mayor que el 76 % de las CVE · dato del 11 nov 2026

Explotación activaSíconfirmada por CISA el 10 nov 2026

Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada)

Noticias y reportajes en Orbitaley

La interfaz de usuario del producto no advierte al usuario sobre acciones no seguras en Microsoft Office Outlook, lo que permite a un atacante no autorizado realizar suplantación de identidad (spoofing) a través de la red.

Traducción automática del texto original de NVD (en inglés).

Cronología

Elaborada con nuestros propios datos: NVD, CISA KEV y otros catálogos de explotación, FIRST EPSS, exploits públicos, prensa especializada y la cobertura de Orbitaley.

10 nov 2026Añadida al catálogo KEV de CISA: explotación confirmada, plazo federal 24 nov 2026
10 nov 2026Previdian la registra como explotada (informe público)
10 nov 2026Primera mención en prensa especializada (CISA); 7 medios la han tratado desde entonces
10 nov 2026Registro CVE publicado en NVD
10 nov 2026Alerta: Microsoft corrige 200 vulnerabilidades, entre ellas un fallo de Outlook que CISA confirma como explotado
11 nov 2026Primer exploit público

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Explotación observada por otros catálogos

Además del KEV de CISA, otros catálogos de vulnerabilidades explotadas recogen esta CVE. No toda la evidencia vale lo mismo: un intento registrado por un honeypot no equivale a un compromiso confirmado.

Previdian · explotación con éxito · informe público · desde el 10 nov 2026

Datos recogidos a través de Vulnerability-Lookup (CIRCL)

Cobertura en medios

Medios especializados en seguridad que han citado esta CVE:

Minuto da Segurança · Outlook: falha explorada expõe autenticação corporativa e exige correção urgente (11 nov 2026)
SecNews.gr · Microsoft Patch Tuesday Νοεμβρίου 2026: Πάνω από 1.200 ευπάθειες (11 nov 2026)
El Hacker · Microsoft confirma hackeo de Outlook para robar hashes de Windows (11 nov 2026)
Bitlifemedia · Microsoft corrige una vulnerabilidad de Outlook que los ciberdelincuentes ya están explotando (11 nov 2026)
SecNews.gr · CVE-2026-124194: Ενεργή εκμετάλλευση στο Outlook εκθέτει NTLMv2 hash (10 nov 2026)
SecurityWeek · Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft (10 nov 2026)
Tenable · Microsoft’s November 2026 Patch Tuesday addresses 1093 CVEs (CVE-2026-124194) (10 nov 2026)
CISA · CISA Adds Six Known Exploited Vulnerabilities to Catalog (10 nov 2026)

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1203 Exploitation for Client Executionexecution85 %

El vector AV:N/PR:N/UI:R exige interacción del usuario, por lo que es T1203; la descripción solo menciona spoofing sin un impacto ATT&CK concreto, así que no se asignan impactos.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Application Isolation and Sandboxing Exploit Protection Update Software

Tecnologías afectadas (3)

Microsoft — 365 Apps Microsoft — Office 2021 Microsoft — Office 2024

Registro NVD

Estado en NVD: Analizada
Publicada: 10 nov 2026
Última modificación: 11 nov 2026
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Debilidad (CWE): CWE-356
Plazo de remediación: 24 nov 2026
Uso conocido en ransomware: Unknown

Referencias

Aviso del fabricantemsrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194
Aviso gubernamentalcisa.gov/known-exploited-vulnerabilities-catalog

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-124194",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-124194",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "active"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-11-09T00:00:00+00:00"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "secure@microsoft.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "secure@microsoft.com",
      "affectedData": [
        {
          "vendor": "Microsoft",
          "product": "Microsoft 365 Apps for Enterprise",
          "versions": [
            {
              "status": "affected",
              "version": "16.0.1",
              "lessThan": "https://aka.ms/OfficeSecurityReleases",
              "versionType": "custom"
            }
          ],
          "platforms": [
            "32-bit Systems",
            "x64-based Systems"
          ]
        },
        {
          "vendor": "Microsoft",
          "product": "Microsoft Office LTSC 2021",
          "versions": [
            {
              "status": "affected",
              "version": "16.0.1",
              "lessThan": "16.0.14334.21048",
              "versionType": "custom"
            }
          ],
          "platforms": [
            "32-bit Systems",
            "x64-based Systems"
          ]
        },
        {
          "vendor": "Microsoft",
          "product": "Microsoft Office LTSC 2024",
          "versions": [
            {
              "status": "affected",
              "version": "16.0.0",
              "lessThan": "16.0.17932.21140",
              "versionType": "custom"
            }
          ],
          "platforms": [
            "32-bit Systems",
            "x64-based Systems"
          ]
        }
      ]
    }
  ],
  "published": "2026-11-10T19:20:48.180",
  "references": [
    {
      "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194",
      "tags": [
        "Vendor Advisory"
      ],
      "source": "secure@microsoft.com"
    },
    {
      "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-124194",
      "tags": [
        "US Government Resource"
      ],
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Analyzed",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "secure@microsoft.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-356"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Product ui does not warn user of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to perform spoofing over a network."
    }
  ],
  "lastModified": "2026-11-11T05:19:35.990",
  "cisaActionDue": "2026-11-24",
  "cisaExploitAdd": "2026-11-10",
  "configurations": [
    {
      "nodes": [
        {
          "negate": false,
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:a:microsoft:365_apps:-:*:*:*:enterprise:*:x64:*",
              "vulnerable": true,
              "matchCriteriaId": "3259EBFE-AE2D-48B8-BE9A-E22BBDB31378"
            },
            {
              "criteria": "cpe:2.3:a:microsoft:365_apps:-:*:*:*:enterprise:*:x86:*",
              "vulnerable": true,
              "matchCriteriaId": "CD25F492-9272-4836-832C-8439EBE64CCF"
            },
            {
              "criteria": "cpe:2.3:a:microsoft:office_2021:-:*:*:*:ltsc:-:x64:*",
              "vulnerable": true,
              "matchCriteriaId": "1D518075-3362-4D15-93B1-0E6C61518D16"
            },
            {
              "criteria": "cpe:2.3:a:microsoft:office_2021:-:*:*:*:ltsc:-:x86:*",
              "vulnerable": true,
              "matchCriteriaId": "1059BEC6-C30B-4F0F-A878-5267A21CBD85"
            },
            {
              "criteria": "cpe:2.3:a:microsoft:office_2024:-:*:*:*:ltsc:-:x64:*",
              "vulnerable": true,
              "matchCriteriaId": "55A9AFDA-D77B-4CC7-ACE5-3A2ABDA257D8"
            },
            {
              "criteria": "cpe:2.3:a:microsoft:office_2024:-:*:*:*:ltsc:-:x86:*",
              "vulnerable": true,
              "matchCriteriaId": "8887D177-26A3-4008-89B6-50A9E9830F13"
            }
          ],
          "operator": "OR"
        }
      ]
    }
  ],
  "sourceIdentifier": "secure@microsoft.com",
  "cisaRequiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.",
  "cisaVulnerabilityName": "Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability"
}