这是一篇针对 Microsoft Outlook 漏洞的解析：打开精心构造的邮件文件会泄露用户的 NTLMv2 哈希。本文以防御视角，说明发生什么、谁受影响以及如何应对，不涉及攻击步骤。
- CVE
- CVE-2026-124194（Microsoft Outlook Spoofing Vulnerability）
- 严重度
- CVSS v3.1 6.5（Medium；向量 AV:N/AC:L/PR:N/UI:R/C:H；由 Microsoft 给出，NVD 中数值相同）。MSRC 严重度：Moderate
- 类型
- 产品界面没有就不安全的操作向用户发出警告（CWE-356）；欺骗
- 影响
- 打开精心构造的邮件文件会让 Outlook 在没有外部内容警告的情况下向外连接，泄露 NTLMv2 哈希。预览窗格不是攻击途径
- 受影响
- Office LTSC 2021、Office LTSC 2024、Microsoft 365 Apps for Enterprise
- 修复
- LTSC 2021：16.0.14334.21048 / LTSC 2024：16.0.17932.21140 / Microsoft 365 Apps：见 Office 安全发布页面
- 发布
- 2026年11月10日（补丁星期二）
- 利用情况
- Microsoft 标为已被利用（Exploited: Yes）。2026年11月10日列入 CISA KEV（期限为11月24日）
等待的风险
哈希不是明文密码，但 Microsoft 的公告称攻击者可以用它以该用户的身份进行认证。在用户可以通过 NTLM 向内部共享和服务认证的环境中，一个泄露的哈希可能成为通向该用户所能访问的一切的立足点。
这是什么样的漏洞
据 Microsoft 的公告，未经认证的攻击者可以发送精心构造的邮件文件，并诱使用户打开。随后 Outlook 可能会在不显示通常的外部内容警告的情况下连接到攻击者控制的位置，泄露可用于冒充该用户的认证信息。它被归类为 CWE-356（产品界面没有就不安全的操作向用户发出警告）。
- 利用需要网络连通和用户交互。CVSS 向量中的 UI:R 表示必须诱使用户打开恶意的 Office 文件。
- Microsoft 表示预览窗格不是攻击途径。
- 泄露的是 NTLMv2 哈希。机密性影响为高（C:H），完整性和可用性不受影响，因此评分为 6.5。
- 公告没有描述文件如何构造或连接如何建立，本站也不描述。
受影响范围
| 项目 | 内容 |
|---|---|
| 产品 | Microsoft Outlook（Office LTSC 2021 / Office LTSC 2024 / Microsoft 365 Apps for Enterprise，32 位和 64 位） |
| 修复（LTSC 2021） | 16.0.14334.21048 |
| 修复（LTSC 2024） | 16.0.17932.21140 |
| 修复（Microsoft 365 Apps） | 见 Office 安全发布页面（aka.ms/OfficeSecurityReleases） |
| 临时办法和缓解措施 | 公告数据中未找到 |
| 客户操作 | 需要（Microsoft：Customer Action Required: Yes） |
- 未列出的版本（例如更旧的 Office 版本）不在公告涵盖范围内。如果您在使用，请向 Microsoft 询问。
- 即使启用了自动更新，更新通道的设置也可能延迟推送。请核实实际的版本号。
如何确认自己是否受影响
确认 Office 版本号
在 Outlook 中依次打开文件、Office 账户、关于 Outlook，即可看到版本号。LTSC 2021 低于 16.0.14334.21048 或 LTSC 2024 低于 16.0.17932.21140 即受影响。对于 Microsoft 365 Apps，请在发布页面上查找您所用通道的修复版本。终端很多时，可参考资产清点清单列出清单。
确认更新的推送方式
确认更新是自动的还是由管理员管理的。如果推送被暂停，请确认11月补丁星期二的更新没有被搁置。
今天就检查出站 SMB 和 NTLM
检查终端能否通过 SMB（TCP 445）访问互联网，以及是否已设置限制出站 NTLM。如果这些是开放的，泄露的哈希会造成更大的损害。
今天该做什么
把 Office 更新到修复版本或更高版本（最优先）
把 LTSC 2021 更新到 16.0.14334.21048 或更高，把 LTSC 2024 更新到 16.0.17932.21140 或更高。对于 Microsoft 365 Apps，请在 Office 安全发布页面上找到所用通道的修复版本并更新。KEV 的期限是11月24日，但已确认被利用，所以不要等到期限。
在网络边界封锁出站 SMB
作为通用的防御措施，请在防火墙上封锁从内部网络到互联网的 SMB（TCP 445）。这样即使用户打开了精心构造的文件，哈希也更难到达外部目的地。如果您用 SMB 与外部方共享文件，请先确认该用途。
限制出站 NTLM
Microsoft 记载了一项 Windows 策略「Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers」，可以审核或拒绝出站 NTLM（Microsoft Learn）。直接设为「Deny all」可能破坏业务流程，所以请先用「Audit all」查看实际使用情况，再分阶段收紧。
跟进更新前可能打开过此类文件的用户
如果有用户记得打开过可疑的邮件文件，请更换其密码，并检查其登录记录是否有异常。泄露的是由密码派生的哈希，所以更换密码后，泄露的哈希就无法使用了。同时加强账户保护（多因素认证指南）。
告知用户
告知用户不要打开来源不明的邮件文件或附件。典型的钓鱼套路请参阅什么是钓鱼。
利用情况
- Microsoft 的公告将 Publicly Disclosed 记为 No，将 Exploited 记为 Yes。
- CISA 于2026年11月10日把它列入 KEV，期限为11月24日（KEV 版本 2026.11.10）。KEV 将其命名为「Missing User Interaction for Potentially Unsafe Action」。
- KEV 将勒索软件使用情况记为 Unknown，将取证分诊记为 No。
- CISA 的评估已添加到 CVE 记录中（exploitation：active；automatable：no；technical impact：partial）。
- NVD 的状态为 Analyzed，显示 Microsoft 给出的 6.5。
- 攻击的规模、手法或行为者的公开信息无法确认。公告中附有对报告者的致谢。
同一次11月补丁星期二中的优先事项
Microsoft 2026年11月的 CVRF（机器可读的安全更新数据）包含 1,342 个条目。其中包括 Edge 所引入的 Chromium 漏洞等第三方产品，所以本站不给出仅限 Microsoft 产品的数量。其中 68 个被评为 Critical，而 CVE-2026-124194 本身为 Moderate。下面是在 CVRF 中确认的主要 Critical 条目。在该 CVRF 中，只有这个 CVE 被标为已被利用。
| CVE | 产品 | 简述 |
|---|---|---|
| CVE-2026-118207 | Exchange Server（Subscription Edition） | 远程代码执行（CVSS 8.8）。针对已认证的低权限攻击者。被评为更可能被利用 |
| CVE-2026-119958 | Windows LDAP | 远程代码执行（CVSS 9.8）。无需认证。被评为不太可能被利用 |
| CVE-2026-116928 | Windows Search | 远程代码执行（CVSS 9.8）。公告描述了一条经由 Exchange 自动处理附件的途径。被评为不太可能被利用 |
| CVE-2026-119952 | Windows Schannel | 远程代码执行（CVSS 8.1）。无需认证。被评为更可能被利用 |
| CVE-2026-118146 | Active Directory Domain Services | 远程代码执行（CVSS 8.8）。被评为更可能被利用 |
- 「更可能或不太可能被利用」是 Microsoft 的 Exploitability Index 评级，与是否已实际观察到利用（Exploited）是两回事。
- 这里只是主要条目的节选。其他 Critical 条目请查看 Microsoft 的公告。
信息来源
- Microsoft — CVE-2026-124194 Microsoft Outlook Spoofing Vulnerability（2026年11月10日发布；受影响产品、修复版本、已被利用、CVSS 6.5）
- Microsoft — MSRC CVRF, November 2026 security updates（Critical 列表和可利用性评级）
- Microsoft — Microsoft 365 Apps security updates（Office 版本号列表）
- Microsoft Learn — Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers（审核或拒绝出站 NTLM）
- CVE.org — CVE-2026-124194（2026年11月10日发布；含 CISA 的列入信息）
- NVD — CVE-2026-124194（Analyzed；CVSS 6.5）
- CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日列入；期限11月24日）
封锁出站 SMB（TCP 445）是本站列出的通用防御措施，并非 Microsoft 公告中所述的临时办法。最后确认：2026年11月11日。