Centro Nacional de Respuesta a Incidentes de Seguridad Informática

Por lo tanto, se recomienda identificar las instalaciones afectadas y aplicar las actualizaciones de seguridad correspondientes, priorizando los sistemas expuestos y aquellos que cumplen funciones críticas dentro de la infraestructura.

Productos Afectados

Microsoft Outlook

Versiones:

• Microsoft 365 Apps for Enterprise.
• Office LTSC 2021.
• Office LTSC 2024.

La CVE-2026-124194, afecta múltiples versiones de Microsoft correspondientes a Outlook.Se sugiere comprobar las versiones específicas en la página web de Microsoft.

Microsoft anunció oficialmente que la vulnerabilidad está siendo explotada activamente.

Severidad:

Puntaje: CVSS V3.1: 6.5

Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Productos afectados:

MICROSOFT EXCHANGE SERVER RCE

Versiones:

• Versiones afectadas < 15.02.2552.057

La CVE-2026-118207, corresponde específicamente a Exchange Server Subscription Edition RTM. No debemos extenderla a Exchange 2016, Exchange 2019 o Exchange Online sin realizar una verificación de las versiones afectadas, la cual puede verificarse en la página web de Microsoft. 

Al momento de elaborarse esta publicación, no se tiene constancia de explotación activa de estas vulnerabilidades.

Severidad:

Puntaje: CVSS V3.1: 8.8

Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Detalles técnicos

CVE-2026-124194 (CVSS v3.1: 6.5)

Esta vulnerabilidad pemite preparar un archivo de mensaje de Outlook (.msg) especialmente manipulado y conseguir que una persona lo abra. Al hacerlo, Outlook podría intentar establecer una conexión con una ubicación de red controlada por quien ataca, sin mostrar la advertencia habitual.
Durante esa conexión, podría exponerse el hash NTLMv2 de la persona usuaria, que posteriormente podría ser utilizado por quien ataca para intentar autenticarse haciéndose pasar por la víctima.

Al momento de elaborarse esta publicación, la vulnerabilidad no se activa mediante el panel de vista previa, requiere que el usuario abra el archivo manipulado.

CVE-2026-118207 (CVSS v3.1: 8.8)

La vulnerabilidad se origina en una validación incorrecta de entradas (Improper Input Validation) en Microsoft Exchange Server.
Esta vulnerabilidad permite, aún con privilegios bajos, que se envén solicitudes especialmente manipuladas a través de la red para aprovechar el fallo y ejecutar código de forma remota en el servidor Exchange afectado. Una explotación exitosa podría permitir comprometer la confidencialidad, integridad y disponibilidad del servidor. 

Productos afectados

Microsoft Outlook:

• Microsoft 365 Apps for Enterprise.
• Office LTSC 2021.
• Office LTSC 2024.

Microsoft Exchange Server:

• Exchange Server Subscription Edition (SE), Versión RTM.

Remediación

CVE-2026-124194
Actualización Prioritaria

• Aplicar la actualización de seguridad publicada por Microsoft (noviembre 2026)
• Verificar que las instalaciones de Microsoft 365 Apps for Enterprise y Office LTSC 2021/2024 se encuentren en compilaciones corregidas o posteriores.
• Comprobar que la actualización se haya instalado correctamente y que los equipos afectados ya no ejecuten versiones vulnerables.

CVE-2026-118207
Actualización Prioritaria

• Se recomienda instalar las actualizaciones de seguridad de Microsoft (noviembre 2026) correspondientes a cada versión afectada. Priorizar los controladores de dominio y servidores que ejecuten AD DS.Verificar que la actualización quede instalada correctamente y que la compilación del sistema corresponda a una versión corregida. Comprobar que los servicios Active Directory continúen funcionando correctamente después de aplicar el parche. Aplicar la actualización de seguridad publicada por Microsoft el 10 de noviembre de 2026 para Exchange Server Subscription Edition RTM. 
• Instalar el paquete de seguridad KB5133453 (SU12). 
• Verificar que el servidor se encuentre en la compilación 15.02.2562.057 o posterior. 
• Comprobar que la instalación se haya completado correctamente y que los servicios de Exchange funcionen con normalidad. 
• Ejecutar Exchange Server Health Checker para verificar el estado de actualización y detectar posibles acciones adicionales pendientes.

Mitigación

Las configuraciones presentadas a continuación son mitigaciones parciales, esto implica que no hacen segura una instalación vulnerable; la actualización es la única solución completa. Dichas mitigaciónes buscan minimizar o complejizar la explotación, pero requieren de mecanismos adicionales, como pueden ser EDR, aislar los equipos potencialmente vulnerables del resto del parque de servidores y/o cualquier otro tipo de mecanismo de monitoreo.

Medidas temporales para CVE-2026-124194

• Restringir las conexiones NTLM salientes hacia destinos externos o no confiables, evitando la exposición de información de autenticación.
• Implementar reglas de filtrado de tráfico para limitar las conexiones SMB salientes, especialmente mediante el puerto TCP/445, cuando no sean necesarias.
• Evitar la apertura de archivos .msg provenientes de remitentes desconocidos o fuentes no confiables mientras existan equipos pendientes de actualización.

Medidas temporales para CVE-2026-118207

• Restringir el acceso a los servicios de Exchange Server desde redes externas y segmentos no confiables, permitiendo únicamente las conexiones necesarias. 
• Limitar las cuentas con acceso al servidor y aplicar el principio de mínimo privilegio. 
• Revisar las reglas de firewall y los mecanismos de publicación de Exchange para reducir la superficie de exposición. 
• Reforzar los controles de acceso a las interfaces y servicios administrativos del servidor. 
• Mientras existan servidores pendientes de actualización, incrementar el monitoreo de las solicitudes dirigidas a Exchange.

Recomendaciones

Se recomienda realizar un relevamiento de las instalaciones de Microsoft Outlook y Exchange Server presentes en la infraestructura, con el objetivo de identificar las versiones afectadas y priorizar la aplicación de las actualizaciones de seguridad correspondientes a noviembre de 2026. Se deberá prestar especial atención a la vulnerabilidad CVE-2026-124194 en Outlook, debido a que cuenta con reportes de explotación activa.
Asimismo, resulta conveniente reforzar los controles de acceso a los servicios de Exchange, restringir las conexiones NTLM salientes hacia destinos externos o no confiables y controlar el tráfico SMB que no resulte necesario para la operación. También se recomienda revisar los permisos de las cuentas con acceso a estos servicios, aplicando el principio de mínimo privilegio.
Desde el ámbito de monitoreo y respuesta, se recomienda mantener una supervisión de los registros de autenticación, las conexiones salientes y las solicitudes dirigidas a los servicios de Exchange, prestando especial atención a posibles intentos de exposición de credenciales NTLM, actividad inusual y comportamientos compatibles con la explotación de estas vulnerabilidades. Ante la detección de indicadores sospechosos, se deberá investigar el origen de la actividad, identificar los equipos, usuarios involucrados y evaluar un posible compromiso de credenciales o de la infraestructura.

Referencias.

1. Acceder a la página web de Microsoft, CVE-2026-124194
2. Acceder a notas de la actualización de seguridad en la página web de Microsoft. 
3. Acceder a la página web de Microsoft, CVE-2026-118207 
4. Acceder a la descripción de la actualización de seguridad KB5133453 de Microsoft Exchange server
5. Acceder a la herramienta de comprobación del estado de Microsoft Exchange