Uma explicação sobre uma vulnerabilidade do Microsoft Outlook em que abrir um arquivo de mensagem manipulado vaza o hash NTLMv2 do usuário. Cobre o que acontece, quem é afetado e como responder, do lado da defesa e sem passos de ataque.
- CVE
- CVE-2026-124194 (Microsoft Outlook Spoofing Vulnerability)
- Gravidade
- CVSS v3.1 6,5 (média; vetor AV:N/AC:L/PR:N/UI:R/C:H; atribuída pela Microsoft, mesmo valor no NVD). Gravidade MSRC: Moderate
- Tipo
- A interface do produto não avisa o usuário sobre ações inseguras (CWE-356); falsificação
- Impacto
- Abrir um arquivo de mensagem manipulado faz o Outlook se conectar ao exterior sem aviso de conteúdo externo e vazar um hash NTLMv2. O painel de leitura não é um vetor
- Afetado
- Office LTSC 2021, Office LTSC 2024, Microsoft 365 Apps for Enterprise
- Correção
- LTSC 2021: 16.0.14334.21048 / LTSC 2024: 16.0.17932.21140 / Microsoft 365 Apps: veja a página de versões de segurança do Office
- Publicado
- 10 de novembro de 2026 (Patch Tuesday)
- Exploração
- A Microsoft a marca como explorada (Exploited: Yes). Incluída no CISA KEV em 10 de novembro de 2026 (prazo: 24 de novembro)
O risco de esperar
Um hash não é a senha em texto simples, mas o boletim da Microsoft diz que o invasor poderia usá-lo para se autenticar como o usuário. Onde os usuários podem se autenticar com NTLM em compartilhamentos e serviços internos, um único hash vazado pode virar uma porta de entrada para tudo o que esse usuário alcança.
Que tipo de vulnerabilidade é
O boletim da Microsoft diz que um invasor não autenticado poderia enviar um arquivo de mensagem manipulado e convencer um usuário a abri-lo. O Outlook poderia então se conectar a um local controlado pelo invasor sem exibir o aviso habitual de conteúdo externo, revelando informações de autenticação que poderiam ser usadas para se passar pelo usuário. É classificada como CWE-356 (a interface do produto não avisa o usuário sobre ações inseguras).
- A exploração exige conectividade de rede e interação do usuário. UI:R no vetor CVSS significa que o usuário precisa ser convencido a abrir um arquivo malicioso do Office.
- A Microsoft afirma que o painel de leitura não é um vetor de ataque.
- O que vaza é o hash NTLMv2. O impacto na confidencialidade é alto (C:H), enquanto integridade e disponibilidade não são afetadas, o que resulta em 6,5.
- O boletim não descreve como o arquivo é construído nem como a conexão funciona, e este site também não.
Escopo afetado
| Item | Detalhe |
|---|---|
| Produto | Microsoft Outlook (Office LTSC 2021 / Office LTSC 2024 / Microsoft 365 Apps for Enterprise, 32 e 64 bits) |
| Correção (LTSC 2021) | 16.0.14334.21048 |
| Correção (LTSC 2024) | 16.0.17932.21140 |
| Correção (Microsoft 365 Apps) | Veja a página de versões de segurança do Office (aka.ms/OfficeSecurityReleases) |
| Soluções alternativas / mitigações | Nenhuma nos dados do boletim |
| Ação do cliente | Necessária (Microsoft: Customer Action Required: Yes) |
- Versões que não constam (por exemplo, versões antigas do Office) não são cobertas pelo boletim. Se você as usa, consulte a Microsoft.
- Mesmo com atualizações automáticas, a configuração do canal de atualização pode atrasar a entrega. Verifique o build real.
Como verificar se você é afetado
Verifique o build do Office
No Outlook, vá em Arquivo, depois Conta do Office e em seguida Sobre o Outlook para ver o build. LTSC 2021 abaixo de 16.0.14334.21048 ou LTSC 2024 abaixo de 16.0.17932.21140 é afetado. No Microsoft 365 Apps, procure na página de versões o build corrigido do seu canal. Com muitos computadores, faça uma lista como no checklist de inventário de ativos.
Verifique como as atualizações são entregues
Descubra se as atualizações são automáticas ou gerenciadas por um administrador. Se a entrega estiver pausada, confirme que as atualizações do Patch Tuesday de novembro não estão retidas.
Verifique hoje o SMB e o NTLM de saída
Verifique se os computadores conseguem chegar à internet por SMB (TCP 445) e se há uma configuração restringindo o NTLM de saída. Se estiverem abertos, um hash vazado causa mais dano.
O que fazer hoje
Atualize o Office para o build corrigido ou posterior (prioridade máxima)
Leve o LTSC 2021 para 16.0.14334.21048 ou posterior e o LTSC 2024 para 16.0.17932.21140 ou posterior. No Microsoft 365 Apps, encontre o build corrigido do seu canal na página de versões de segurança do Office e atualize. O prazo do KEV é 24 de novembro, mas a exploração está confirmada, então não espere pelo prazo.
Bloqueie o SMB de saída no perímetro
Como defesa geral, bloqueie no firewall o SMB (TCP 445) da sua rede interna para a internet. Mesmo que um usuário abra um arquivo manipulado, o hash terá menos chance de chegar a um destino externo. Se você usa SMB para compartilhar arquivos com terceiros, confirme antes esse caso de uso.
Restrinja o NTLM de saída
A Microsoft documenta uma política do Windows, «Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers», que pode auditar ou negar o NTLM de saída (Microsoft Learn). Defini-la direto como «Deny all» pode quebrar processos de negócio, então comece com «Audit all» para ver o uso real e depois endureça por etapas.
Acompanhe os usuários que podem ter aberto um arquivo assim antes da atualização
Se um usuário lembra de ter aberto um arquivo de mensagem suspeito, troque a senha dele e verifique o histórico de logins em busca de algo incomum. O que vaza é um hash derivado da senha, então trocá-la inutiliza o hash vazado. Reforce também a proteção das contas (guia de autenticação multifator).
Avise os usuários
Diga aos usuários para não abrirem arquivos de mensagem nem anexos de origem desconhecida. Os padrões típicos de phishing estão em O que é phishing.
Status da exploração
- O boletim da Microsoft indica Publicly Disclosed: No e Exploited: Yes.
- A CISA a incluiu no KEV em 10 de novembro de 2026 com prazo de 24 de novembro (versão do KEV 2026.11.10). O KEV a chama de «Missing User Interaction for Potentially Unsafe Action».
- O KEV registra o uso em ransomware como Desconhecido e a triagem forense como No.
- A avaliação da CISA é anexada ao registro CVE (exploração: ativa; automatizável: não; impacto técnico: parcial).
- O status no NVD é Analyzed, com o 6,5 da Microsoft.
- Não foi possível confirmar informações públicas sobre a escala, as técnicas ou os autores dos ataques. O boletim traz um agradecimento a quem relatou a falha.
Prioridades do mesmo Patch Tuesday de novembro
O CVRF da Microsoft (dados de atualizações de segurança legíveis por máquina) de novembro de 2026 contém 1.342 entradas. Elas incluem produtos de terceiros, como as vulnerabilidades do Chromium que o Edge incorpora, então este site não informa um número só de produtos da Microsoft. Dessas, 68 são classificadas como Critical, enquanto o próprio CVE-2026-124194 é Moderate. A seguir estão as principais Critical confirmadas no CVRF. Dentro do CVRF, este CVE é o único marcado como explorado.
| CVE | Produto | Em resumo |
|---|---|---|
| CVE-2026-118207 | Exchange Server (Subscription Edition) | Execução remota de código (CVSS 8,8). Exige um invasor autenticado com poucos privilégios. Classificada como exploração mais provável |
| CVE-2026-119958 | Windows LDAP | Execução remota de código (CVSS 9,8). Sem autenticação. Classificada como exploração menos provável |
| CVE-2026-116928 | Windows Search | Execução remota de código (CVSS 9,8). O boletim descreve um caminho em que o Exchange processa anexos automaticamente. Classificada como exploração menos provável |
| CVE-2026-119952 | Windows Schannel | Execução remota de código (CVSS 8,1). Sem autenticação. Classificada como exploração mais provável |
| CVE-2026-118146 | Active Directory Domain Services | Execução remota de código (CVSS 8,8). Classificada como exploração mais provável |
- «Exploração mais ou menos provável» é a classificação do Exploitability Index da Microsoft, distinta de a exploração ter sido de fato observada (Exploited).
- É uma seleção das principais. Consulte os boletins da Microsoft para as demais entradas Critical.
Fontes
- Microsoft — CVE-2026-124194 Microsoft Outlook Spoofing Vulnerability (publicado em 10 de novembro de 2026; produtos afetados, builds corrigidos, explorada, CVSS 6,5)
- Microsoft — MSRC CVRF, November 2026 security updates (lista de Critical e classificações de explorabilidade)
- Microsoft — Microsoft 365 Apps security updates (lista de builds do Office)
- Microsoft Learn — Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers (auditar ou negar o NTLM de saída)
- CVE.org — CVE-2026-124194 (publicado em 10 de novembro de 2026; inclui a inclusão pela CISA)
- NVD — CVE-2026-124194 (Analyzed; CVSS 6,5)
- CISA KEV — Known Exploited Vulnerabilities Catalog (incluído em 10 de novembro; prazo em 24 de novembro)
Este site indica o bloqueio do SMB de saída (TCP 445) como defesa geral; não é uma solução alternativa citada no boletim da Microsoft. Última verificação: 11 de novembro de 2026.
Leia a seguir
- Prática: O guia de correção de vulnerabilidades / Checklist de inventário de ativos
- Decidir: Priorizar com CVSS, EPSS e KEV
- Autenticação: Guia de autenticação multifator
- Termos: O que é phishing / O que é CVSS?