這是一篇針對 Microsoft Outlook 漏洞的解析：開啟精心構造的郵件檔案會洩露使用者的 NTLMv2 雜湊。本文以防禦視角，說明發生什麼、誰受影響以及如何應對，不涉及攻擊步驟。
- CVE
- CVE-2026-124194（Microsoft Outlook Spoofing Vulnerability）
- 嚴重度
- CVSS v3.1 6.5（Medium；向量 AV:N/AC:L/PR:N/UI:R/C:H；由 Microsoft 給出，NVD 中數值相同）。MSRC 嚴重度：Moderate
- 型別
- 產品介面沒有就不安全的操作向使用者發出警告（CWE-356）；欺騙
- 影響
- 開啟精心構造的郵件檔案會讓 Outlook 在沒有外部內容警告的情況下向外連線，洩露 NTLMv2 雜湊。預覽窗格不是攻擊途徑
- 受影響
- Office LTSC 2021、Office LTSC 2024、Microsoft 365 Apps for Enterprise
- 修復
- LTSC 2021：16.0.14334.21048 / LTSC 2024：16.0.17932.21140 / Microsoft 365 Apps：見 Office 安全釋出頁面
- 釋出
- 2026年11月10日（補丁星期二）
- 利用情況
- Microsoft 標為已被利用（Exploited: Yes）。2026年11月10日列入 CISA KEV（期限為11月24日）
等待的風險
雜湊不是明文密碼，但 Microsoft 的公告稱攻擊者可以用它以該使用者的身份進行認證。在使用者可以透過 NTLM 向內部共享和服務認證的環境中，一個洩露的雜湊可能成為通向該使用者所能訪問的一切的立足點。
這是什麼樣的漏洞
據 Microsoft 的公告，未經認證的攻擊者可以傳送精心構造的郵件檔案，並誘使使用者開啟。隨後 Outlook 可能會在不顯示通常的外部內容警告的情況下連線到攻擊者控制的位置，洩露可用於冒充該使用者的認證資訊。它被歸類為 CWE-356（產品介面沒有就不安全的操作向使用者發出警告）。
- 利用需要網路連通和使用者互動。CVSS 向量中的 UI:R 表示必須誘使使用者開啟惡意的 Office 檔案。
- Microsoft 表示預覽窗格不是攻擊途徑。
- 洩露的是 NTLMv2 雜湊。機密性影響為高（C:H），完整性和可用性不受影響，因此評分為 6.5。
- 公告沒有描述檔案如何構造或連線如何建立，本站也不描述。
受影響範圍
| 專案 | 內容 |
|---|---|
| 產品 | Microsoft Outlook（Office LTSC 2021 / Office LTSC 2024 / Microsoft 365 Apps for Enterprise，32 位和 64 位） |
| 修復（LTSC 2021） | 16.0.14334.21048 |
| 修復（LTSC 2024） | 16.0.17932.21140 |
| 修復（Microsoft 365 Apps） | 見 Office 安全釋出頁面（aka.ms/OfficeSecurityReleases） |
| 臨時辦法和緩解措施 | 公告資料中未找到 |
| 客戶操作 | 需要（Microsoft：Customer Action Required: Yes） |
- 未列出的版本（例如更舊的 Office 版本）不在公告涵蓋範圍內。如果您在使用，請向 Microsoft 詢問。
- 即使啟用了自動更新，更新通道的設定也可能延遲推送。請核實實際的版本號。
如何確認自己是否受影響
確認 Office 版本號
在 Outlook 中依次開啟檔案、Office 賬戶、關於 Outlook，即可看到版本號。LTSC 2021 低於 16.0.14334.21048 或 LTSC 2024 低於 16.0.17932.21140 即受影響。對於 Microsoft 365 Apps，請在釋出頁面上查詢您所用通道的修復版本。終端很多時，可參考資產清點清單列出清單。
確認更新的推送方式
確認更新是自動的還是由管理員管理的。如果推送被暫停，請確認11月補丁星期二的更新沒有被擱置。
今天就檢查出站 SMB 和 NTLM
檢查終端能否透過 SMB（TCP 445）訪問網際網路，以及是否已設定限制出站 NTLM。如果這些是開放的，洩露的雜湊會造成更大的損害。
今天該做什麼
把 Office 更新到修復版本或更高版本（最優先）
把 LTSC 2021 更新到 16.0.14334.21048 或更高，把 LTSC 2024 更新到 16.0.17932.21140 或更高。對於 Microsoft 365 Apps，請在 Office 安全釋出頁面上找到所用通道的修復版本並更新。KEV 的期限是11月24日，但已確認被利用，所以不要等到期限。
在網路邊界封鎖出站 SMB
作為通用的防禦措施，請在防火牆上封鎖從內部網路到網際網路的 SMB（TCP 445）。這樣即使使用者開啟了精心構造的檔案，雜湊也更難到達外部目的地。如果您用 SMB 與外部方共享檔案，請先確認該用途。
限制出站 NTLM
Microsoft 記載了一項 Windows 策略「Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers」，可以稽核或拒絕出站 NTLM（Microsoft Learn）。直接設為「Deny all」可能破壞業務流程，所以請先用「Audit all」檢視實際使用情況，再分階段收緊。
跟進更新前可能開啟過此類檔案的使用者
如果有使用者記得開啟過可疑的郵件檔案，請更換其密碼，並檢查其登入記錄是否有異常。洩露的是由密碼派生的雜湊，所以更換密碼後，洩露的雜湊就無法使用了。同時加強賬戶保護（多因素認證指南）。
告知使用者
告知使用者不要開啟來源不明的郵件檔案或附件。典型的釣魚套路請參閱什麼是釣魚。
利用情況
- Microsoft 的公告將 Publicly Disclosed 記為 No，將 Exploited 記為 Yes。
- CISA 於2026年11月10日把它列入 KEV，期限為11月24日（KEV 版本 2026.11.10）。KEV 將其命名為「Missing User Interaction for Potentially Unsafe Action」。
- KEV 將勒索軟體使用情況記為 Unknown，將取證分診記為 No。
- CISA 的評估已新增到 CVE 記錄中（exploitation：active；automatable：no；technical impact：partial）。
- NVD 的狀態為 Analyzed，顯示 Microsoft 給出的 6.5。
- 攻擊的規模、手法或行為者的公開資訊無法確認。公告中附有對報告者的致謝。
同一次11月補丁星期二中的優先事項
Microsoft 2026年11月的 CVRF（機器可讀的安全更新資料）包含 1,342 個條目。其中包括 Edge 所引入的 Chromium 漏洞等第三方產品，所以本站不給出僅限 Microsoft 產品的數量。其中 68 個被評為 Critical，而 CVE-2026-124194 本身為 Moderate。下面是在 CVRF 中確認的主要 Critical 條目。在該 CVRF 中，只有這個 CVE 被標為已被利用。
| CVE | 產品 | 簡述 |
|---|---|---|
| CVE-2026-118207 | Exchange Server（Subscription Edition） | 遠端程式碼執行（CVSS 8.8）。針對已認證的低許可權攻擊者。被評為更可能被利用 |
| CVE-2026-119958 | Windows LDAP | 遠端程式碼執行（CVSS 9.8）。無需認證。被評為不太可能被利用 |
| CVE-2026-116928 | Windows Search | 遠端程式碼執行（CVSS 9.8）。公告描述了一條經由 Exchange 自動處理附件的途徑。被評為不太可能被利用 |
| CVE-2026-119952 | Windows Schannel | 遠端程式碼執行（CVSS 8.1）。無需認證。被評為更可能被利用 |
| CVE-2026-118146 | Active Directory Domain Services | 遠端程式碼執行（CVSS 8.8）。被評為更可能被利用 |
- 「更可能或不太可能被利用」是 Microsoft 的 Exploitability Index 評級，與是否已實際觀察到利用（Exploited）是兩回事。
- 這裡只是主要條目的節選。其他 Critical 條目請檢視 Microsoft 的公告。
資訊來源
- Microsoft — CVE-2026-124194 Microsoft Outlook Spoofing Vulnerability（2026年11月10日釋出；受影響產品、修復版本、已被利用、CVSS 6.5）
- Microsoft — MSRC CVRF, November 2026 security updates（Critical 列表和可利用性評級）
- Microsoft — Microsoft 365 Apps security updates（Office 版本號列表）
- Microsoft Learn — Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers（稽核或拒絕出站 NTLM）
- CVE.org — CVE-2026-124194（2026年11月10日釋出；含 CISA 的列入資訊）
- NVD — CVE-2026-124194（Analyzed；CVSS 6.5）
- CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日列入；期限11月24日）
封鎖出站 SMB（TCP 445）是本站列出的通用防禦措施，並非 Microsoft 公告中所述的臨時辦法。最後確認：2026年11月11日。