CVE-2026-124194: fallo de gravedad media en Microsoft 365 Apps for Enterprise
Microsoft Outlook Spoofing Vulnerability
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene prueba de concepto pública.
El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.
- CTIR Gov · RECOMENDAÇÃO 23/2026 · 22 oct 2026Recomendação Técnica – Vulnerabilidade no Microsoft Outlookleer en gov.br ↗
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
La interfaz de Microsoft Outlook no advierte al usuario sobre acciones potencialmente inseguras, lo que permite a un atacante por red hacerse pasar por un remitente u origen de confianza. El usuario puede confiar en contenido que debería haber cuestionado.
La interfaz del producto Microsoft Office Outlook no advierte al usuario sobre acciones inseguras (CWE-356), y un atacante remoto no autorizado puede explotar esta falla a través de la red para realizar suplantación (spoofing). El vector de ataque es de red y no requiere privilegios, con una puntuación CVSS base de 6.5 (Media). El aviso no detalla otras precondiciones, como la necesidad de interacción del usuario, por lo que el impacto debe evaluarse según la guía oficial del fabricante.
En el mismo producto, de las más peligrosas a las menos.