Outlook filtra tu hash y Microsoft lo llama «moderado»

El martes Microsoft publicó parches para 1.095 vulnerabilidades. De todas ellas hay exactamente una que ya se está explotando, y resulta llevar la etiqueta de severidad más baja del lote. Si tu cola de parcheo se ordena por «lo crítico primero», esa iba la última. Se llama CVE-2026-124194, vive en Outlook, y lo que se escapa cuando alguien abre el fichero no es el contenido del correo: es su hash NTLMv2.

Una de 1.095, y es la de abajo

Los titulares de esta semana dicen 1.094. Nosotros preferimos contar, así que fuimos a la API de la Security Update Guide y pedimos la entrega 2026-Nov entera. A fecha de hoy devuelve 1.511 entradas, de las cuales 1.095 tienen a Microsoft como CNA; del resto, 219 vienen de Chromium —son las de Edge—, 196 de Azure Linux (Mariner) y queda una suelta. La cifra baila un punto arriba o abajo según el día en que la mires, porque el catálogo sigue moviéndose después del martes: nosotros publicamos la nuestra con el método, no con la fe.

Hay dos entradas «moderadas» en todo el mes y una de las dos es la que están usando. Ninguna de las 64 críticas lo está. Ninguna de las 1.029 importantes tampoco. Y para que no parezca que la etiqueta al menos sigue a la nota: CVE-2026-113864, una elevación de privilegios en Hyper-V, está marcada como Critical con un CVSS de 6,4; la de Outlook, con un 6,5 —es decir, más alta—, está marcada como Moderate. La puntuación más alta del mes es un 10,0 en Entra Device Registration y nadie la está explotando. Si ordenas por nota, 930 de las 1.095 empatan o superan a la única que está pasando de verdad.

No es un error de Microsoft. La severidad mide el daño potencial en el peor escenario imaginable y una filtración de credencial, sobre el papel, hace menos ruido que tomar el control de un hipervisor. El error es nuestro cuando usamos esa etiqueta como orden de trabajo. Son dos listas distintas: una dice cuánto podría doler y la otra dice qué está pasando ahora mismo. Llevamos años ordenando por la primera.

Qué hace exactamente, en palabras de Microsoft

La ficha la clasifica como spoofing y le pone una CWE que ya lo cuenta todo: CWE-356, «la interfaz del producto no avisa al usuario de acciones inseguras». El FAQ lo explica así, literal: «un atacante no autenticado podría enviar un fichero de mensaje especialmente manipulado y convencer a un usuario de que lo abra en una versión afectada de Microsoft Outlook. Abrir el fichero podría hacer que Outlook se conectara a una ubicación de red controlada por el atacante sin mostrar el aviso habitual de contenido externo, revelando potencialmente información de autenticación que podría usarse para suplantar al usuario».

Y qué es esa «información de autenticación», lo dice otra pregunta del FAQ sin rodeos: «esta vulnerabilidad revela el hash NTLMv2 del usuario al atacante, que podría usarlo para autenticarse como él». Conviene ser precisos, porque la precisión aquí cambia lo que hay que hacer: un NTLMv2 no es el NT hash que se reutiliza tal cual en un pass-the-hash clásico. Con una respuesta NTLMv2 capturada se hacen dos cosas: retransmitirla en el momento contra un servicio que acepte NTLM, o llevársela a casa y romperla sin prisa. La propia documentación de SMB de Microsoft resume el catálogo en una línea cuando explica por qué conviene cortar el NTLM saliente: «contrarrestando ataques de fuerza bruta, de cracking y de pass-the-hash».

Lo que viene después de eso ya lo hemos contado con cronómetro en la mano: en dos horas se pasa de una credencial capturada a intentar administrador de dominio. El salto no lo da el fallo; lo dan las tres o cuatro decisiones de diseño que hay entre la máquina del usuario y el directorio.

El parche no llega por Windows Update

Aquí está el detalle operativo que convierte esto en un problema de parque y no en una nota de seguridad. Los productos afectados son seis filas: Microsoft 365 Apps for Enterprise (32 y 64 bits) y Office LTSC 2021 y 2024 (32 y 64 bits). Ninguna de las seis trae un KB; en la columna del artículo pone «Release Notes». Eso no es un descuido: es que ese Office se actualiza solo desde la red de distribución de Office, por canal, y no por el mismo camino que Windows. Un parque con el 100% de Windows al día puede tener el 100% de Outlook sin parchear, y el cuadro de mando de actualizaciones seguirá en verde.

Estos son los builds que Microsoft publicó el 10 de noviembre y que incluyen este CVE. El número que verás en la máquina está en Archivo → Cuenta, junto al nombre del canal:

Tres cosas que conviene saber de esa tabla. La primera: el canal por defecto, si nadie eligió nada al desplegar, es Current Channel, y ese recibe la seguridad el segundo martes como los demás, pero también sueltas sin calendario durante el mes. La segunda: Monthly Enterprise mantiene tres versiones vivas a la vez, así que una máquina en 2608 no estaba desactualizada —seguía soportada hasta este mismo martes— pero necesita su propio build, el 20326.20320, y nadie la va a empujar antes de tiempo. Y la tercera, para los que llevan el Semi-Annual precisamente para no moverse: desde julio de 2026 ese canal recibe actualizaciones de función y de seguridad todos los meses, con un periodo de reversión de dos meses. El canal «lento» ya no es tan lento.

Tres condiciones, y dos son tuyas

Para que ese hash acabe en manos de alguien tienen que cumplirse tres cosas a la vez. La primera es el disparador: un fallo en Outlook que se salta el aviso. Esa no la controlas tú, y ya está parcheada —hasta la siguiente, porque esta familia de fallos lleva años reapareciendo con disparadores distintos; en octubre contamos siete formas documentadas de que el aviso de origen externo no llegue a decidir nada—. La segunda es que el equipo del usuario esté dispuesto a hablar NTLM con un servidor de fuera. La tercera es que esa conexión encuentre la salida. Las dos últimas son decisiones tuyas, y las dos se pueden cambiar hoy.

Un apunte de honestidad antes de seguir: Microsoft dice «una ubicación de red controlada por el atacante» y no dice por qué protocolo. El interruptor que viene ahora cubre SMB, que es el camino clásico de este tipo de fuga. Si la ubicación se alcanza por otra vía, no la cubre. Por eso el control de salida —qué puede abrir un portátil de oficina hacia internet y qué no— es la capa que no depende de adivinar el protocolo, y por eso en nuestros despliegues el 445 saliente está cerrado desde el día uno, sin excepciones negociadas por teléfono.

El interruptor que ya tienes y está apagado

Desde Windows 11 24H2 y Windows Server 2025, el cliente SMB de Windows sabe negarse a usar NTLM hacia fuera. La documentación lo dice con una claridad poco habitual: «el cliente SMB ahora soporta bloquear la autenticación NTLM para conexiones salientes remotas. Bloquear la autenticación NTLM impide que los malos engañen a los clientes para que envíen peticiones NTLM a servidores maliciosos». Es, literalmente, la descripción de lo que acabamos de leer en el FAQ de Outlook. Y viene apagado.

Por directiva de grupo está en Configuración del equipo → Plantillas administrativas → Red → Estación de trabajo Lanman, con el nombre «Block NTLM (LM, NTLM, NTLMv2)». Por PowerShell es una línea: Set-SmbClientConfiguration -BlockNTLM $true. Hay lista de excepciones por servidor —«Block NTLM Server Exception List»— pensada justo para el caso que vas a encontrarte, y que la propia documentación nombra: «cuando el servidor SMB al que intentas conectarte no está unido a un dominio de Active Directory». Y se puede aplicar solo a un recurso concreto al montarlo: NET USE \\servidor\recurso /BLOCKNTLM o New-SmbMapping -RemotePath \\servidor\recurso -BlockNTLM $true.

El requisito de versión no es un detalle menor para una pyme: si tu parque no llegó a 24H2, este interruptor no existe en tus máquinas. Y conviene mirarlo junto a la otra fecha, porque el soporte de 24H2 en Home y Pro terminó el 13 de octubre mientras que en Enterprise y Education llega a octubre de 2027. El mismo número de versión, dos calendarios. Quien hizo ese inventario en octubre ya sabe hoy en cuántos equipos puede encender esto.

Cuándo NO hacer esto

Si acabas de leer lo anterior y vas a empujar la directiva al dominio entero esta tarde, para. Bloquear NTLM saliente de golpe en un parque real rompe cosas, y rompe las de siempre: la cabina de almacenamiento que no está unida al dominio, el NAS del despacho de arriba, la multifunción que escanea a una carpeta compartida, la aplicación sectorial de 2011 que se autentica como puede. Esas son exactamente las que la lista de excepciones existe para salvar. El orden que funciona es aburrido y es el de siempre: inventario de a qué recursos SMB sale cada grupo de equipos, lista de excepciones escrita, piloto en un departamento, y bloqueo general al final.

Y el «cuándo no» más honesto de todos: si en tu empresa nadie usa el Outlook de escritorio —solo el del navegador— este CVE concreto no te toca. Se comprueba en cinco minutos y te ahorras la tarde. Lo que sí te toca, uses el cliente que uses, es la pregunta de debajo: ¿por qué un portátil tuyo puede autenticarse contra un servidor de internet que no has visto en tu vida?

Lo que dice CISA, y lo que no dice

El mismo 10 de noviembre, CISA añadió este CVE a su catálogo de vulnerabilidades explotadas conocidas con fecha límite el 24 de noviembre: catorce días. En el catálogo (versión 2026.11.10) el campo de uso en campañas de ransomware está en «Unknown»: está pasando, pero todavía no hay una banda de extorsión documentada detrás. De cómo se calculan hoy esos plazos y de por qué han dejado de servir como termómetro de gravedad hablamos esta misma mañana, comparando dos fichas del mismo aparato separadas por tres años.

Ese plazo obliga a las agencias federales de Estados Unidos, no a una empresa de Sabadell. Lo decimos porque hay quien vende el catálogo como si fuera normativa aquí y no lo es. Su valor para nosotros es otro: cuando un lote trae 1.095 parches, lo que falta no es puntuación, es un criterio de orden. Y el criterio lleva publicado desde el martes, aunque no esté donde solemos mirarlo.

Dónde encaja esto en lo que hacemos

No vendemos licencias de Microsoft ni tenemos cuota que cumplir con nadie. Lo que hacemos con un puesto de trabajo gestionado es poco glamuroso: saber qué versión de Office corre cada máquina y por qué canal, decidir ese canal a propósito en vez de heredarlo, y tener escrito qué puede abrir un portátil hacia fuera. Esa última línea es ciberseguridad de la aburrida, la que no sale en ninguna demo. La primera es mantenimiento del parque, que consiste casi entero en saber qué tienes antes de que alguien te pregunte si estás afectado.

El fallo es inevitable, la avería es una decisión de diseño. Aquí el fallo es que un cliente de correo se salte un aviso: pasa, ha pasado antes y volverá a pasar. La avería es que, cuando pase, la credencial de alguien pueda salir de tu edificio sin que nada se interponga. Entre las dos cosas hay un interruptor que ya está instalado en tus equipos y una regla de salida que no cuesta dinero. Ninguna de las dos aparece en la lista de 1.095.

Fuentes (verificadas el 12-nov-2026): Microsoft Security Update Guide, ficha de CVE-2026-124194 y su API pública (severidad Moderate, CVSS 6,5 con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N/E:H/RL:O/RC:C, CWE-356, «Exploitation Detected», divulgación pública «No», las tres respuestas del FAQ citadas y las seis filas de productos afectados sin KB); recuento propio sobre el mismo endpoint para la entrega 2026-Nov (1.511 entradas, 1.095 con Microsoft como CNA, 64 Critical, 1.029 Important, 2 Moderate, una sola explotada, CVE-2026-113864 como Critical con 6,4 y CVE-2026-109469 como máximo del mes con 10,0). CISA, catálogo KEV, versión 2026.11.10 descargada en crudo (alta el 10-nov, plazo 24-nov, ransomware «Unknown»). Microsoft Learn, «Release notes for Microsoft Office security updates» (los builds del 10-nov-2026 de la tabla) y «Overview of update channels for Microsoft 365 Apps» (canal por defecto, seguridad el segundo martes, tres versiones vivas en Monthly Enterprise y el cambio del Semi-Annual desde julio de 2026). Microsoft Learn, «Block NTLM connections on SMB» (la cita del bloqueo saliente, el requisito de Windows 11 24H2 y Windows Server 2025, la directiva de Lanman Workstation, la lista de excepciones y los comandos) y «Guidance about how to configure protected accounts» (NTLM en Protected Users, los avisos y los 240 minutos). Las lecturas y los contrastes son nuestros.