Introducción
Desde el 10 de noviembre de 2026, una vulnerabilidad zero-day en explotación activa afecta a múltiples versiones de Office: basta con abrir un archivo de mensaje malicioso para que el hash NTLMv2 del usuario sea transmitido a un atacante, sin que aparezca ningún tipo de alerta. Catalogada como CVE-2026-124194, incluida de inmediato en el catálogo KEV de la CISA y confirmada en explotación activa, esta vulnerabilidad pone de relieve por qué NTLM sigue siendo un vector de ataque persistente en entornos Microsoft, pese a los años de trabajo invertidos en su depreciación.
Un vector de ataque sin fricción para el usuario
El mecanismo es engañosamente sencillo. El atacante envía a su objetivo un archivo de mensaje especialmente construido. En el momento en que la víctima lo abre con una versión vulnerable de Outlook, el cliente establece automáticamente una conexión saliente hacia un servidor bajo el control del atacante, sin solicitar confirmación, sin mostrar ningún aviso, sin requerir ninguna acción adicional. Esa conexión transmite el hash NTLMv2 de la sesión activa.
Existe un factor atenuante: la vulnerabilidad no puede activarse desde el panel de vista previa. Es necesario abrir el archivo por completo. Esta restricción reduce ligeramente la superficie de exposición, pero resulta insuficiente para neutralizar el riesgo en entornos donde los usuarios gestionan adjuntos de correo a diario.
Del hash capturado al compromiso de la red
Un hash NTLMv2 interceptado abre dos vías al atacante. La primera es el relay NTLM: el hash se retransmite en tiempo real hacia otros servicios internos para autenticarse suplantando a la víctima. La segunda es el cracking offline: sometido a herramientas especializadas, el hash puede permitir recuperar la contraseña en texto claro.
En un entorno Active Directory, las consecuencias van mucho más allá del buzón de correo comprometido. Una cuenta con privilegios moderados puede abrir un camino hacia recursos compartidos sensibles, servicios RPC o controladores de dominio, dependiendo de la topología de red.
Productos afectados y plazos de remediación
CVE-2026-124194 afecta a Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024, en versiones de 32 y 64 bits. Su puntuación CVSS es de 6,5, clasificada como «moderada», pero la CISA ha fijado el 24 de noviembre de 2026 como fecha límite de remediación para las agencias federales estadounidenses. En la práctica, es este calendario ajustado, y no la puntuación de severidad, lo que convierte esta vulnerabilidad en la prioridad absoluta del ciclo de noviembre. El parche está disponible desde el 10 de noviembre a través de Windows Update y el Catálogo de Microsoft Update.
NTLM: lo que el parche por sí solo no cierra
Esta vulnerabilidad no surge de la nada. Microsoft lleva varios años impulsando la depreciación progresiva de NTLM en favor de protocolos modernos: Windows 11 activa ahora por defecto la firma de mensajes NTLM para conexiones no anónimas, lo que reduce el riesgo de relay. Kerberos sigue siendo el protocolo recomendado para cualquier entorno gestionado.
Sin embargo, millones de equipos y aplicaciones empresariales continúan negociando en NTLM, ya sea por falta de una migración completada o por aplicaciones aún incompatibles con Kerberos. CVE-2026-124194 lo ilustra con claridad: mientras NTLM permanezca activo en el entorno, cualquier componente capaz de desencadenar una conexión de red, correo, unidades asignadas, recursos compartidos UNC, constituye una superficie de ataque latente. Aplicar el parche de noviembre es indispensable; habilitar Enhanced Protection for Authentication (EPA) y auditar las configuraciones NTLM aún activas es lo que cierra la puerta de forma duradera.