Falla de Outlook y caída global ponen a prueba a Microsoft 365

La falla de Outlook identificada como CVE-2026-124194 ya estaba siendo aprovechada por atacantes cuando Microsoft publicó su corrección, el 10 de noviembre de 2026. Dos días después, una caída global de Microsoft 365 dejó sin acceso al correo a organizaciones de varios continentes. Son dos incidentes con orígenes distintos que afectan a las mismas herramientas de trabajo.

Que exista el parche no significa que todos los equipos estén protegidos: los que todavía usan versiones vulnerables de Office siguen expuestos hasta que instalen la actualización.

¿Qué es la falla de Outlook y qué significa que esté siendo explotada?

Cada vulnerabilidad que se reporta públicamente recibe un identificador único llamado CVE (Common Vulnerabilities and Exposures), que permite a fabricantes y equipos de seguridad referirse al mismo problema. En este caso, Microsoft confirmó que la CVE-2026-124194 se usó en ataques reales antes de que existiera una corrección. Eso es lo que se conoce como una vulnerabilidad de día cero: el fabricante tuvo “cero días” para proteger a sus clientes antes de que la falla empezara a aprovecharse.

Que una falla esté “explotada” quiere decir que dejó de ser un riesgo teórico. Alguien ya la usó para atacar a personas u organizaciones. Microsoft no ha dado detalles sobre quién está detrás de esos ataques ni contra quién se dirigieron.

Según el boletín de Microsoft, la falla está en la forma en que Outlook procesa ciertos archivos de mensaje. Cuando una persona abre un archivo manipulado, Outlook se conecta a un servidor controlado por el atacante sin mostrar la advertencia habitual sobre contenido externo. En esa conexión queda expuesto el hash NTLMv2 del usuario.

NTLM (NT LAN Manager) es un protocolo que Windows usa para verificar la identidad de quien inicia sesión. El hash es una versión cifrada de esa credencial. No revela la contraseña directamente, pero quien lo obtiene puede intentar descifrarla con herramientas especializadas, o reenviarlo para hacerse pasar por la persona en otros sistemas de la red. Esta segunda técnica se conoce como NTLM relay.

Microsoft clasificó la falla como de suplantación (spoofing) y le asignó 6,5 sobre 10 en la escala CVSS, el estándar que mide la gravedad de las vulnerabilidades. Eso la ubica en severidad moderada. El ataque exige que la víctima abra el archivo: según Microsoft, el panel de vista previa de Outlook no sirve para lanzarlo.

Se le atribuye el hallazgo a Benoît Sevens, que reportó haber trabajado con Claude, el asistente de Inteligencia Artificial (IA) de Anthropic, y a un investigador identificado como “nono”. Microsoft no aclaró si la falla se descubrió a partir de un ataque que ya estaba en curso.

¿Qué pasó con la caída de Microsoft 365?

El jueves 12 de noviembre, hacia las 11:17 a. m. (hora de Colombia), usuarios de la región empezaron a reportar que no podían abrir sus buzones de Exchange Online, el servicio de correo y calendario en la nube de Microsoft. Microsoft abrió el incidente EX1550543 para Exchange Online y, más tarde, el MO1550821 para los servicios de Microsoft 365 que dependen de él. Al principio describió el problema como regional, pero luego advirtió que podía afectar la conectividad de Microsoft 365 “para usuarios en cualquier región”.

La falla se extendió a todo lo que usa Exchange Online: Outlook en sus versiones de escritorio, web y móvil, la programación de reuniones y calendarios en Teams, Microsoft 365 Copilot y algunos portales de seguridad. Los servicios que no dependen de Exchange Online siguieron funcionando. Ese mismo día hubo un incidente separado en Teams para las Américas (TM1550488), que Microsoft dio por resuelto.

Microsoft no ha confirmado la causa raíz. Lo que se sabe sale de sus actualizaciones de estado:

• Primero habló de una “carga elevada en varias regiones”. Después aclaró que no se debía a un aumento de tráfico, sino a que varios servidores dejaron de estar disponibles de forma inesperada y su carga pasó a los demás, que también se saturaron.
• Hacia las 2:00 p. m. (hora de Colombia) suspendió todas las implementaciones y cambios de configuración en su infraestructura.
• En la noche del jueves explicó que, en los servidores afectados, un proceso encargado de establecer conexiones seguras “se satura”, y que por eso los servidores dejaban de procesar solicitudes. Empezó a revertir un cambio de configuración de red que, según dijo, coincidía con el inicio del problema. No ha confirmado que ese cambio sea la causa.
• Varios servidores que volvían a funcionar se caían de nuevo al recibir tráfico. En una actualización, Microsoft reconoció que sus correcciones “no estaban funcionando como se esperaba”.

Microsoft aseguró que no tiene indicios de actividad maliciosa, es decir, que no hay señales de un ciberataque detrás de la caída. Según recogió The Economic Times, Charles Lamanna, vicepresidente ejecutivo de Copilot, Agentes y Plataforma de Microsoft, dijo a sus clientes que “no hay indicios de que esto sea resultado de actividad maliciosa o cibernética”. La compañía se comprometió a publicar un informe posterior al incidente con la causa una vez resuelva el problema.

En su reporte más reciente disponible al cierre de esta nota, Microsoft indicó que había completado acciones de recuperación en parte de la infraestructura afectada y que restablecía el tráfico de forma gradual.

El acceso a los buzones y el procesamiento del correo atrasado mejoraban, pero algunas personas usuarias podían seguir teniendo fallas intermitentes. Para que no se perdieran mensajes, la compañía amplió a 48 horas el plazo de espera del correo: los mensajes retrasados quedan en cola y se entregan cuando los servidores se recuperan. Microsoft no ha dado una hora estimada para el restablecimiento total.

¿Cuál es el impacto?

Microsoft no ha publicado una cifra de personas u organizaciones afectadas. La compañía reportó en enero de 2026 que Microsoft 365 supera las 450 millones de licencias comerciales pagadas, lo que da una idea de cuántas organizaciones dependen de este servicio. Eso no quiere decir que todas hayan perdido el acceso. Según Associated Press, Downdetector registró cerca de 130.000 reportes de fallas en Outlook en decenas de países durante el pico del jueves. Esa cifra mide reportes enviados por personas usuarias, no el número real de personas afectadas.

La caída golpeó a organizaciones de sectores muy distintos, de acuerdo con Associated Press:

• Gobiernos: la Agencia de Tecnología del Gobierno de Singapur reportó fallas en el correo oficial, el gobierno de Japón dijo que su infraestructura de TI se vio afectada y recurrió a alternativas como el teléfono, y la Corte Suprema de Filipinas reportó interrupciones en algunas operaciones.
• Banca: algunos bancos de Hong Kong tuvieron interrupciones parciales.
• Aerolíneas: Air India redirigió sus servicios de correo e IndiGo reportó fallas en su soporte por correo electrónico. Ambas aseguraron que sus operaciones de vuelo no se afectaron.
• Empresas: Workhorse Group aplazó su llamada de resultados trimestrales por la falla, y una empresa de aluminio de Hong Kong no podía recibir correos de sus clientes.
• Servicios de IA: OpenAI y Anthropic reportaron problemas con los conectores que permiten a ChatGPT y Claude leer correo, calendarios y archivos de Microsoft 365. Según la página de estado de Claude, desde las 12:52 p. m. (hora de Colombia) las solicitudes a correo, SharePoint, chat de Teams y calendario a través del conector podían fallar, y la empresa atribuyó el problema a “un proveedor externo”. Los asistentes siguieron funcionando, pero no podían acceder a esas herramientas.

En Latinoamérica, medios de México reportaron fallas entre personas usuarias del país durante la jornada del jueves. El problema empezó en horario laboral de la región, por lo que afectó la operación de organizaciones públicas y privadas en plena jornada.

No hay una estimación pública de pérdidas. Los efectos visibles son demoras en la comunicación con clientes, reuniones que no se pudieron programar y procesos que dependen del correo, como el aplazamiento de resultados de Workhorse.

La caída vuelve a poner sobre la mesa cuánto dependen gobiernos y empresas de un número pequeño de proveedores tecnológicos. Jake Moore, asesor de ciberseguridad de ESET, advirtió en Forbes que esa concentración permite que una sola falla se convierta rápidamente en un apagón tecnológico global, y pidió a las grandes tecnológicas planes de respaldo para estos casos.

Las dos situaciones conviene leerlas por separado. La caída de Microsoft 365 afectó a cualquier organización que dependiera de Exchange Online. La falla de Outlook, en cambio, solo afecta a ciertas versiones de Outlook para Windows y exige que alguien abra un archivo manipulado. Por eso no se pueden sumar las 450 millones de licencias al universo expuesto a la vulnerabilidad.

¿Por qué una falla moderada es la más urgente del mes?

La corrección de Outlook formó parte del ‘Patch Tuesday’ de noviembre, la actualización mensual de seguridad de Microsoft. Según el balance de Tenable, la compañía corrigió 1.093 vulnerabilidades: 63 críticas, 1.029 importantes y una moderada. Esa única falla moderada, la de Outlook, fue la única de día cero con explotación confirmada en todo el paquete.

Esto muestra por qué los equipos de seguridad no pueden ordenar sus prioridades solo por la puntuación. Una falla moderada que ya se está usando en ataques es más urgente que una crítica que nadie ha aprovechado.

Por eso la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (Cisa) incluyó la CVE-2026-124194 en su catálogo de vulnerabilidades conocidas y explotadas (KEV) el 10 de noviembre. Fijó el 24 de noviembre de 2026 como plazo para que las entidades federales civiles de ese país apliquen la corrección. Esa orden no aplica en Latinoamérica, pero el catálogo de Cisa es una referencia que usan equipos de seguridad de todo el mundo para decidir qué actualizar primero.

¿Qué versiones de Outlook están expuestas?

Según el boletín de Microsoft, la vulnerabilidad afecta a Outlook clásico para Windows, en 32 y 64 bits, en estas versiones:

• Microsoft 365 Apps for Enterprise
• Office LTSC 2021
• Office LTSC 2024

Microsoft no incluye en la lista el nuevo Outlook para Windows, Outlook en la web, Outlook para Mac ni las aplicaciones móviles.

Office 2016 y Office 2019 merecen atención aparte. No aparecen en la lista, pero dejaron de recibir soporte en octubre de 2025, así que tampoco reciben esta corrección. Firmas de análisis de amenazas como ThreatDefence las consideran expuestas. Las organizaciones que todavía las usan no tienen un parche disponible.

Como la falla está en el programa instalado en cada computador, tener el correo en la nube con Exchange Online no protege por sí solo a quien abre los mensajes desde una versión vulnerable de Outlook de escritorio.

¿Cómo se corrige y qué medidas temporales existen?

La actualización acumulativa de Windows no corrige esta falla. El parche se instala a través de la actualización de Microsoft 365 Apps u Office, según el producto y el canal de actualización. En las instalaciones de tipo Click-to-Run, la más común, la actualización se aplica solo cuando las aplicaciones de Office están cerradas.

Microsoft publicó estas compilaciones corregidas:

• Office LTSC 2021: compilación 16.0.14334.21048 o posterior.
• Office LTSC 2024: compilación 16.0.17932.21140 o posterior.

En Microsoft 365 Apps for Enterprise, el número de compilación depende del canal de actualizaciones que use cada organización. Por eso, quienes administran estos equipos deben revisar la tabla oficial de versiones de seguridad de Office y confirmar que cada computador tenga una versión corregida.

Mientras se completa la instalación, firmas especializadas como ThreatDefence recomiendan medidas temporales que Microsoft no incluye en su boletín:

• Bloquear las conexiones SMB (Server Message Block, el protocolo que usa Windows para compartir archivos en red) que salen hacia Internet por los puertos TCP 445 y 139.
• Restringir con directivas de grupo (GPO) el tráfico NTLM hacia servidores externos, primero en modo de auditoría y luego bloqueándolo.

Bloquear el puerto 445 no basta por sí solo, porque Windows puede intentar la misma conexión por otra vía, llamada WebDAV. Por eso estas firmas recomiendan combinar ambas medidas. Ninguna reemplaza la actualización.

¿Qué deben hacer las organizaciones en Latinoamérica?

Microsoft no ha reportado ataques dirigidos a países de la región con esta falla, y no hay cifras públicas de equipos afectados en Latinoamérica. Aun así, las dos situaciones obligan a revisar varias cosas.

Frente a la falla de Outlook:

• Hacer inventario de los equipos con Microsoft 365 Apps, Office LTSC 2021 u Office LTSC 2024, y verificar qué compilación tienen instalada.
• Aplicar la actualización de Office y confirmar que se instaló, cerrando las aplicaciones si hace falta.
• Identificar los equipos con Office 2016 u Office 2019 y planear su migración a una versión con soporte.
• Revisar los registros de inicio de sesión y el tráfico de red en busca de conexiones de Outlook hacia servidores externos desconocidos.
• Pedir al personal que no abra archivos de mensaje inesperados, en especial los que lleguen de remitentes externos.

Frente a la caída de Microsoft 365:

• Consultar el estado del servicio solo en canales oficiales: el centro de administración de Microsoft 365 (incidente MO1550821) y status.cloud.microsoft.
• No reenviar correos que no llegaron, porque Microsoft los mantiene en cola hasta 48 horas.
• Desconfiar de mensajes que pidan volver a iniciar sesión o “restablecer la cuenta” por la caída. En caídas anteriores de Microsoft, firmas como McAfee advirtieron que quienes estafan aprovechan estos momentos para enviar alertas falsas con la marca de la compañía y robar contraseñas. Con una falla de Outlook activa que se basa en archivos manipulados, ese riesgo es mayor.
• Definir canales alternos de comunicación para la próxima interrupción.

Cuando una credencial queda expuesta, el riesgo rara vez se limita a un buzón: puede servir para entrar a otros sistemas de la organización. Impacto TIC analizó este tipo de robo de accesos a propósito de amenazas como Shadow Parasite. La recomendación de fondo es la misma en ambos casos: mantener el software actualizado y tener un plan para cuando los servicios en la nube fallen.

Sigue a Impacto TIC en Google