Разбор уязвимости Microsoft Outlook, при которой открытие подготовленного файла сообщения приводит к утечке хеша NTLMv2 пользователя. Что происходит, кого это касается и как реагировать — со стороны защиты и без шагов атаки.
- CVE
- CVE-2026-124194 (Microsoft Outlook Spoofing Vulnerability)
- Тяжесть
- CVSS v3.1 6.5 (средняя; вектор AV:N/AC:L/PR:N/UI:R/C:H; присвоена Microsoft, в NVD то же значение). Тяжесть по MSRC: Moderate
- Тип
- Интерфейс продукта не предупреждает пользователя о небезопасных действиях (CWE-356); подмена
- Воздействие
- Открытие подготовленного файла сообщения заставляет Outlook обратиться наружу без предупреждения о внешнем содержимом, и хеш NTLMv2 утекает. Область предварительного просмотра вектором не является
- Затронуто
- Office LTSC 2021, Office LTSC 2024, Microsoft 365 Apps for Enterprise
- Исправление
- LTSC 2021: 16.0.14334.21048 / LTSC 2024: 16.0.17932.21140 / Microsoft 365 Apps: см. страницу выпусков безопасности Office
- Опубликовано
- 10 ноября 2026 года (плановое обновление)
- Эксплуатация
- Microsoft отмечает её как эксплуатируемую (Exploited: Yes). Внесена в CISA KEV 10 ноября 2026 года (срок — 24 ноября)
Чем опасно ожидание
Хеш — это не пароль в открытом виде, но, согласно бюллетеню Microsoft, атакующий может использовать его, чтобы аутентифицироваться как пользователь. Если пользователи могут проходить по NTLM аутентификацию на внутренних ресурсах и в службах, один утёкший хеш способен стать плацдармом для всего, до чего этот пользователь дотягивается.
В чём заключается уязвимость
Согласно бюллетеню Microsoft, неаутентифицированный атакующий может отправить подготовленный файл сообщения и убедить пользователя его открыть. Тогда Outlook может подключиться к месту под контролем атакующего, не показав обычное предупреждение о внешнем содержимом, и раскрыть аутентификационные данные, которые можно использовать, чтобы выдать себя за пользователя. Уязвимость отнесена к CWE-356 (интерфейс продукта не предупреждает пользователя о небезопасных действиях).
- Для эксплуатации нужны сетевая связность и действие пользователя. UI:R в векторе CVSS означает, что пользователя нужно убедить открыть вредоносный файл Office.
- Microsoft указывает, что область предварительного просмотра не является вектором атаки.
- Утекает хеш NTLMv2. Влияние на конфиденциальность высокое (C:H), целостность и доступность не затронуты, отсюда 6.5.
- Бюллетень не описывает, как строится файл и как происходит подключение, и этот сайт тоже не описывает.
Кого это касается
| Параметр | Описание |
|---|---|
| Продукт | Microsoft Outlook (Office LTSC 2021 / Office LTSC 2024 / Microsoft 365 Apps for Enterprise, 32- и 64-разрядные) |
| Исправление (LTSC 2021) | 16.0.14334.21048 |
| Исправление (LTSC 2024) | 16.0.17932.21140 |
| Исправление (Microsoft 365 Apps) | См. страницу выпусков безопасности Office (aka.ms/OfficeSecurityReleases) |
| Обходные меры / смягчение | В данных бюллетеня не найдены |
| Действия клиента | Требуются (Microsoft: Customer Action Required: Yes) |
- Версии, которых нет в списке (например, более старые выпуски Office), бюллетенем не охвачены. Если вы их используете, обратитесь в Microsoft.
- Даже при автоматических обновлениях настройка канала обновлений может задерживать доставку. Проверяйте фактическую сборку.
Как проверить, затронуты ли вы
Проверьте сборку Office
В Outlook откройте Файл, затем Учётная запись Office, затем О программе Outlook и посмотрите сборку. LTSC 2021 ниже 16.0.14334.21048 или LTSC 2024 ниже 16.0.17932.21140 затронуты. Для Microsoft 365 Apps найдите исправленную сборку для вашего канала на странице выпусков. Если конечных устройств много, составьте их список, как в чек-листе инвентаризации активов.
Проверьте, как доставляются обновления
Выясните, обновления автоматические или ими управляет администратор. Если доставка приостановлена, убедитесь, что обновления ноябрьского планового выпуска не задерживаются.
Проверьте исходящие SMB и NTLM уже сегодня
Проверьте, могут ли конечные устройства выходить в интернет по SMB (TCP 445) и включена ли настройка, ограничивающая исходящий NTLM. Если они открыты, утёкший хеш приносит больше вреда.
Что сделать сегодня
Обновите Office до исправленной сборки или новее (главный приоритет)
Переведите LTSC 2021 на 16.0.14334.21048 или новее, а LTSC 2024 на 16.0.17932.21140 или новее. Для Microsoft 365 Apps найдите исправленную сборку своего канала на странице выпусков безопасности Office и обновитесь. Срок KEV — 24 ноября, но эксплуатация подтверждена, поэтому не ждите срока.
Заблокируйте исходящий SMB на периметре
В качестве общей меры защиты заблокируйте на межсетевом экране SMB (TCP 445) из внутренней сети в интернет. Даже если пользователь откроет подготовленный файл, хеш с меньшей вероятностью дойдёт до внешнего адресата. Если вы используете SMB для обмена файлами с внешними сторонами, сначала уточните этот сценарий.
Ограничьте исходящий NTLM
Microsoft описывает политику Windows «Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers», которая позволяет аудировать или запрещать исходящий NTLM (Microsoft Learn). Сразу ставить «Deny all» рискованно — это может нарушить бизнес-процессы, поэтому начните с «Audit all», чтобы увидеть реальное использование, и затем ужесточайте поэтапно.
Свяжитесь с пользователями, которые могли открыть такой файл до обновления
Если пользователь помнит, что открывал подозрительный файл сообщения, смените ему пароль и проверьте историю входов на необычные события. Утекает хеш, полученный из пароля, поэтому после смены пароля утёкший хеш становится непригодным. Заодно усильте защиту учётных записей (руководство по многофакторной аутентификации).
Предупредите пользователей
Попросите пользователей не открывать файлы сообщений и вложения неизвестного происхождения. Типичные схемы фишинга описаны в статье Что такое фишинг.
Состояние эксплуатации
- В бюллетене Microsoft Publicly Disclosed указано как No, а Exploited — как Yes.
- CISA внесла её в KEV 10 ноября 2026 года со сроком 24 ноября (версия KEV 2026.11.10). В KEV она названа «Missing User Interaction for Potentially Unsafe Action».
- В KEV использование в атаках с вымогателями указано как Unknown, а криминалистический разбор (forensic triage) — как No.
- Оценка CISA добавлена в запись CVE (эксплуатация: active; автоматизируемость: no; технический эффект: partial).
- Статус в NVD — Analyzed, с оценкой Microsoft 6.5.
- Открытой информации о масштабе, приёмах и участниках атак подтвердить не удалось. В бюллетене есть благодарность обнаружившему.
Приоритеты из того же ноябрьского планового обновления
CVRF Microsoft (машиночитаемые данные об обновлениях безопасности) за ноябрь 2026 года содержит 1 342 записи. Среди них есть и сторонние продукты, например уязвимости Chromium, которые подхватывает Edge, поэтому этот сайт не называет число продуктов только Microsoft. Из них 68 имеют рейтинг Critical, тогда как сама CVE-2026-124194 — Moderate. Ниже основные Critical-записи, подтверждённые по CVRF. В пределах CVRF эта CVE — единственная, отмеченная как эксплуатируемая.
| CVE | Продукт | Кратко |
|---|---|---|
| CVE-2026-118207 | Exchange Server (Subscription Edition) | Удалённое выполнение кода (CVSS 8.8). Рассчитано на аутентифицированного атакующего с низкими привилегиями. Оценка: эксплуатация более вероятна |
| CVE-2026-119958 | Windows LDAP | Удалённое выполнение кода (CVSS 9.8). Без аутентификации. Оценка: эксплуатация менее вероятна |
| CVE-2026-116928 | Windows Search | Удалённое выполнение кода (CVSS 9.8). Бюллетень описывает путь через автоматическую обработку вложений в Exchange. Оценка: эксплуатация менее вероятна |
| CVE-2026-119952 | Windows Schannel | Удалённое выполнение кода (CVSS 8.1). Без аутентификации. Оценка: эксплуатация более вероятна |
| CVE-2026-118146 | Active Directory Domain Services | Удалённое выполнение кода (CVSS 8.8). Оценка: эксплуатация более вероятна |
- «Эксплуатация более или менее вероятна» — это оценка Exploitability Index от Microsoft, отдельная от того, наблюдалась ли эксплуатация на практике (Exploited).
- Это выборка основных записей. Остальные Critical-записи смотрите в бюллетенях Microsoft.
Источники
- Microsoft — CVE-2026-124194 Microsoft Outlook Spoofing Vulnerability (опубликовано 10 ноября 2026 года; затронутые продукты, исправленные сборки, эксплуатация, CVSS 6.5)
- Microsoft — MSRC CVRF, November 2026 security updates (список Critical и оценки вероятности эксплуатации)
- Microsoft — Microsoft 365 Apps security updates (список сборок Office)
- Microsoft Learn — Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers (аудит или запрет исходящего NTLM)
- CVE.org — CVE-2026-124194 (опубликовано 10 ноября 2026 года; включает добавление CISA)
- NVD — CVE-2026-124194 (Analyzed; CVSS 6.5)
- CISA KEV — Known Exploited Vulnerabilities Catalog (добавлена 10 ноября; срок 24 ноября)
Блокировка исходящего SMB (TCP 445) приведена здесь этим сайтом как общая мера защиты; это не обходной путь, указанный в бюллетене Microsoft. Последняя проверка: 11 ноября 2026 года.
Читайте далее
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Аутентификация: Руководство по многофакторной аутентификации
- Термины: Что такое фишинг / Что такое CVSS?