10 de noviembre de 2026
Fuente: CISA informó el 10 de noviembre que añadió CVE-2026-124194 a su catálogo de vulnerabilidades explotadas conocidas, a partir de evidencia de explotación activa. NVD describe el fallo como una vulnerabilidad de Outlook que no advierte al usuario sobre acciones potencialmente inseguras y permite suplantación por red; Microsoft le asignó CVSS 6.5, severidad media. NVD enumera Microsoft 365 Apps for Enterprise y Office LTSC 2021 y 2024 entre los productos afectados. CISA fijó el 24 de noviembre como plazo de mitigación para agencias federales de EE. UU.
El Resumen (Sin rodeos)
CVE-2026-124194 afecta a Outlook. La ficha del NVD explica que el programa no muestra una advertencia necesaria antes de una acción insegura, lo que puede permitir que un atacante suplante información por red. CISA la agregó a su catálogo KEV, que reúne vulnerabilidades para las que hay evidencia de explotación real. La agencia estadounidense pide priorizar su mitigación y fijó el 24 de noviembre para las agencias federales; ese plazo corresponde a ese sector público, aunque el aviso también es relevante para las organizaciones que usan las versiones afectadas.
Lo primero que se me viene a la mente
Un CVSS medio puede sonar a «lo vemos después», pero la inclusión en el catálogo KEV cambia la conversación: CISA señala explotación activa. La calificación y la evidencia de uso responden preguntas distintas; conviene revisar qué versiones de Office están instaladas antes de sacar conclusiones por el número.
¿Quién es quién en la noticia?
- CISA - Agencia de ciberseguridad de Estados Unidos; mantiene el catálogo
KEV de fallos con evidencia de explotación.
- Microsoft Outlook - Cliente de correo afectado por CVE-2026-124194.
- NVD - Base de datos del Instituto Nacional de Estándares y Tecnología de
EE. UU.; registra el alcance y la puntuación técnica del fallo.
- CVSS - Escala para puntuar la severidad técnica de una vulnerabilidad. En
este caso, Microsoft asignó 6.5, nivel medio.
Compartir