Microsoft recibió una alerta sobre una vulnerabilidad de día cero en Outlook; dos días después sufrió una caída global
CISA incorporó la vulnerabilidad de suplantación de Outlook a su catálogo de amenazas explotadas dos días antes de la interrupción, pero Microsoft reportó fallas de infraestructura independientes y ninguna actividad maliciosa
La caída global de los servicios en la nube de Microsoft, que comenzó el 12 de noviembre y se prolongó hasta el día siguiente, volvió a poner el foco sobre una alerta de ciberseguridad emitida apenas dos días antes.
El 10 de noviembre, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) incorporó a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) una vulnerabilidad de día cero en Microsoft Outlook que ya estaba siendo aprovechada por atacantes.
Hasta ahora, no hay pruebas que establezcan una conexión entre la falla de seguridad y la interrupción generalizada del servicio.
La coincidencia temporal fue señalada por un usuario de X identificado como @Nerdy_Addict. En una publicación del 13 de noviembre, destacó que CISA había alertado sobre la vulnerabilidad de Outlook poco antes de que los servicios en la nube de Microsoft sufrieran una interrupción generalizada.
El usuario mencionó la cercanía entre ambos hechos, pero subrayó que no se había establecido ningún vínculo. La inclusión en el catálogo de CISA confirma que la vulnerabilidad estaba siendo explotada activamente, pero no significa que Microsoft hubiera recibido o ignorado una advertencia privada.
La vulnerabilidad de día cero de Microsoft Outlook ya estaba siendo explotada
La vulnerabilidad, identificada como CVE-2026-124194, es una falla de suplantación que afecta a Microsoft Outlook. Microsoft le asignó una puntuación de 6,5 en el Sistema Común de Puntuación de Vulnerabilidades (CVSS), lo que la ubica en la categoría de gravedad moderada, y confirmó que se había detectado su explotación.
La falla podría permitir que un atacante no autenticado expusiera la información de autenticación de un usuario sin necesidad de obtener primero la contraseña de su cuenta.
Para lograrlo, el atacante tendría que enviar un archivo de mensaje especialmente diseñado y convencer a la víctima de abrirlo en una versión afectada de Outlook.
Just two days before this widespread outage struck Microsoft cloud services, the Cybersecurity and Infrastructure Security Agency (CISA) confirmed active exploitation of a zero-day vulnerability in Microsoft Outlook, adding it to its Known Exploited Vulnerabilities catalog on…
— 🅝🅔🅡🅓🅨 (@Nerdy_Addict) November 12, 2026
Una vez abierto, el archivo podría hacer que Outlook se conectara a una ubicación de red controlada por el atacante sin mostrar la advertencia habitual sobre contenido externo.
Esa conexión podría exponer el hash NTLMv2 de la víctima, que el atacante podría utilizar en intentos de autenticación para hacerse pasar por el usuario afectado.
No se trata de un ataque de clic cero ni de una vulnerabilidad que otorgue automáticamente a un atacante el control del computador. Microsoft señala que la explotación exitosa requiere interacción del usuario y conectividad de red. El panel de vista previa de Outlook tampoco es un vector de ataque para esta falla específica.
La vulnerabilidad afecta a Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024. Microsoft publicó parches de seguridad, y CISA dio a las agencias federales estadounidenses plazo hasta el 24 de noviembre de 2026 para aplicarlos.
La caída de la nube de Microsoft tuvo una explicación independiente
La interrupción comenzó el 12 de noviembre y afectó a los servicios de Microsoft 365, incluidos Outlook y Teams, además de otras herramientas basadas en la nube. Usuarios de varias regiones tuvieron problemas para acceder a los servicios, y la interrupción continuó hasta el 13 de noviembre.
En sus actualizaciones sobre el incidente, Microsoft describió servidores que dejaron de estar disponibles inesperadamente y no superaron las comprobaciones automáticas de estado, lo que aumentó la presión sobre la infraestructura restante.
La compañía también identificó un proceso central sobrecargado en los servidores afectados y tuvo dificultades para recuperar capacidad mientras avanzaban las labores de restablecimiento.
‼️ CISA Confirms Active Exploitation of Outlook User Interaction 0-Day Vulnerability
— Cyber Security News (@The_Cyber_News) November 12, 2026
Details: https://t.co/t27uQlLtux
The U.S. Cybersecurity and Infrastructure Security Agency has confirmed active exploitation of a Microsoft Outlook zero-day vulnerability, CVE-2026-124194, that… pic.twitter.com/67lX2McabD
El ministro australiano de Asuntos Internos, Tony Burke, dijo que Microsoft no creía que el incidente fuera un ciberataque. La compañía también indicó que no tenía pruebas de que una actividad maliciosa o cibernética hubiera causado la interrupción.
Estas declaraciones marcan una diferencia importante entre ambos hechos. Los problemas de infraestructura reportados por Microsoft ofrecen una explicación independiente para la caída, mientras que la compañía no ha identificado la vulnerabilidad de Outlook como un factor contribuyente.
La evaluación de Microsoft concluyó que la CVE-2026-124194 no tuvo un impacto directo en la disponibilidad del servicio. La vulnerabilidad representa riesgos de autenticación, pero no hay pruebas que la vinculen con la caída independiente de los servicios en la nube.
La publicación en X ha llamado la atención sobre la proximidad temporal de ambos acontecimientos, pero la coincidencia por sí sola no demuestra que tengan una causa común. Está por verse si nuevas revelaciones técnicas aportarán más detalles sobre la caída de Microsoft.