La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) ha incorporado la vulnerabilidad CVE-2026-124194 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), confirmando su explotación activa. Esta debilidad afecta directamente al cliente de correo Microsoft Office Outlook. El problema radica en que la interfaz de usuario (UI) del producto no advierte al usuario sobre acciones potencialmente inseguras, lo que permite a un atacante no autorizado ejecutar técnicas de suplantación de identidad (Spoofing) a través de la red. CISA ha establecido el 24 de noviembre de 2026 como fecha límite para que las organizaciones apliquen las mitigaciones correspondientes, bajo las directrices de la Directiva Operativa Vinculante (BOD) 26-04.
Análisis Técnico y Vectores de Riesgo
El riesgo asociado a esta vulnerabilidad es especialmente crítico para los usuarios finales, ya que la falla radica en la ausencia de barreras cognitivas o advertencias del sistema (Product UI does not Warn User of Unsafe Actions – CWE-356).
- Mecánica de Evasión (Spoofing): Un atacante puede aprovechar esta debilidad enviando correos electrónicos manipulados que obligan a Outlook a ejecutar acciones subyacentes sin mostrar los cuadros de diálogo o advertencias de seguridad habituales. Esto facilita enormemente los ataques de Spoofing, ya que el usuario no tiene la oportunidad visual de identificar o bloquear el comportamiento anómalo.
- Vector de Ataque (Red): La vulnerabilidad es explotable a través de la red, lo que significa que el atacante no requiere acceso local al dispositivo de la víctima, y la interacción del usuario se ve anulada por la falla misma de la interfaz.
- Superficie Afectada: La vulnerabilidad impacta transversalmente al ecosistema corporativo moderno de Microsoft, afectando a Microsoft 365 Apps for Enterprise (arquitecturas x86 y x64), así como a los canales de mantenimiento a largo plazo Microsoft Office LTSC 2021 y Microsoft Office LTSC 2024.
Plan de Mitigación Operativa y Respuesta
- Despliegue Crítico de Parches (Endpoints): Inventariar los clientes de Microsoft Office en la organización y aplicar inmediatamente los parches de seguridad emitidos por Microsoft.
- Para Office LTSC 2021: Actualizar a la versión 16.0.14334.21048 o superior.
- Para Office LTSC 2024: Actualizar a la versión 16.0.17932.21140 o superior.
- Para Microsoft 365 Apps for Enterprise: Consultar y aplicar la última Release de seguridad provista en el portal oficial de Microsoft.
- Concientización y Filtrado Perimetral: Aunque la UI de Outlook falle en advertir al usuario, los filtros de seguridad del servidor de correo (Secure Email Gateway / Microsoft Defender for Office 365) deben configurarse para endurecer las políticas anti-spoofing (DMARC, SPF, DKIM) e interceptar correos maliciosos antes de que lleguen a la bandeja de entrada del cliente vulnerable.
- Evaluación de Exposición (CISA BOD 26-04): Las organizaciones deben evaluar activamente sus redes y, si no es posible aplicar la mitigación, descontinuar el uso de los clientes vulnerables hasta que se resuelva la falla.
