CVE-2026-124194: Microsoft Outlook Zero-Day sfruttata per rubare gli hash NTLM

Microsoft ha corretto CVE-2026-124194, una vulnerabilità zero-day attivamente sfruttata in Microsoft Outlook che può esporre le informazioni di autenticazione NTLMv2 di un utente quando viene aperto un file di messaggio appositamente creato. Microsoft classifica il problema come una vulnerabilità di spoofing e lo valuta Moderato con un punteggio CVSS 3.1 di 6,5.

La vulnerabilità consente a un attaccante remoto non autenticato di inviare un file di messaggio dannoso e convincere una vittima ad aprirlo in una versione di Outlook interessata. Outlook può quindi connettersi a una posizione di rete controllata dall’attaccante senza mostrare l’avviso di contenuto esterno che gli utenti normalmente si aspetterebbero. Durante quella connessione, Windows può esporre informazioni di autenticazione NTLMv2 che possono potenzialmente essere abusate per impersonare la vittima.

Contatta Vendite

Microsoft ha confermato che CVE-2026-124194 è già stata sfruttata in attacchi. Tuttavia, l’azienda non ha divulgato gli attori della minaccia coinvolti, la portata della campagna, le organizzazioni vittime, l’infrastruttura di distribuzione o se il materiale di autenticazione rubato è stato utilizzato per movimenti laterali successivi o compromissioni degli account.

Il problema è stato affrontato come parte della release Patch Tuesday di novembre 2026 di Microsoft il 10 novembre. I prodotti coinvolti includono Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 e Microsoft Office LTSC 2024 su sistemi sia a 32 bit che x64.

CISA ha aggiunto la vulnerabilità al suo catalogo di Vulnerabilità Sfruttate Conosciute il 10 novembre, confermando prove di sfruttamento attivo e stabilendo il 24 novembre 2026 come scadenza della correzione per le agenzie federali statunitensi applicabili.

I team di sicurezza possono utilizzare la Piattaforma di Rilevamento dell’Intelligence AI-Nativa di SOC Prime per operativizzare l’intelligence delle minacce, identificare attività sospette di Outlook e NTLM, e accelerare l’ingegneria del rilevamento e la caccia alle minacce nei contesti di SIEM, EDR, XDR e Data Lake.

Rileva CVE-2026-124194 correlando l’attività di Outlook con connessioni SMB in uscita inaspettate, tentativi di autenticazione NTLM a sistemi esterni, esecuzione sospetta del file del messaggio e successivo abuso delle credenziali o dell’identità.

Il contenuto di rilevazione potrebbe non essere disponibile per ogni CVE. Controlla la Piattaforma SOC Prime per la copertura attuale. Se i rilevamenti rilevanti non sono ancora disponibili, controlla nuovamente poiché nuove informazioni sulle minacce e contenuti di rilevazione vengono continuamente aggiunti.

Analisi di CVE-2026-124194

CVE-2026-124194 colpisce Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 e Microsoft Office LTSC 2024. Microsoft assegna al difetto un punteggio CVSS 3.1 di 6,5 con il vettore AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N, riflettendo l’accessibilità remota, la bassa complessità dell’attacco, nessun privilegio richiesto dall’attaccante, l’interazione dell’utente richiesta e l’alto impatto sulla riservatezza.

La vulnerabilità è classificata sotto CWE-356, Prodotto UI Non Avvisa l’Utente di Azioni Non Sicure. In termini pratici, Outlook non mostra l’avviso che dovrebbe normalmente allertare un utente prima che l’applicazione acceda a contenuti esterni potenzialmente pericolosi.

Lo sfruttamento inizia con un file di messaggio di Outlook specificamente creato e consegnato all’obiettivo. L’attaccante non ha bisogno di un account sul sistema della vittima o nel tenant Microsoft 365, ma la vittima deve aprire il file dannoso. Microsoft afferma specificamente che il Riquadro di Anteprima non è un vettore di attacco, il che significa che semplicemente visualizzare il messaggio nell’interfaccia di anteprima di Outlook non è sufficiente.

Una volta aperto il file, Outlook può avviare una connessione a una posizione di rete controllata dall’attaccante senza presentare il solito avviso di contenuto esterno.

Questo è significativo perché gli ambienti Windows possono tentare automaticamente l’autenticazione NTLM quando accedono a risorse remote. Lo scambio di challenge-response risultante può esporre l’hash di autenticazione NTLMv2 dell’utente al server remoto.

Un hash NTLMv2 non è la password in chiaro dell’utente. Tuttavia, il possesso di materiale di autenticazione può creare diversi rischi successivi a seconda dell’ambiente e delle capacità dell’attaccante. BleepingComputer nota che hash catturati possono essere sottoposti a cracking delle password offline, mentre l’advisory di Microsoft avverte che le informazioni di autenticazione trapelate possono potenzialmente essere utilizzate per autenticarsi come la vittima.

Ciò rende la vulnerabilità particolarmente rilevante per ambienti enterprise che ancora si affidano pesantemente a NTLM per condivisioni di file, applicazioni legacy, risorse remote o flussi di lavoro di autenticazione interni.

Il punteggio CVSS di 6,5 può inizialmente sembrare relativamente modesto per un zero-day sotto sfruttamento attivo. Il punteggio riflette il fatto che lo sfruttamento richiede l’interazione dell’utente e colpisce principalmente la riservatezza piuttosto che fornire direttamente l’esecuzione del codice, la perdita di integrità o l’interruzione del servizio.

Il rischio operativo è tuttavia considerevolmente più elevato perché Microsoft ha già osservato lo sfruttamento e il CISA ha aggiunto indipendentemente il difetto a KEV. I team di sicurezza dovrebbero quindi dare priorità allo stato di sfruttamento rispetto al solo CVSS quando determinano l’urgenza della correzione.

Il record CVE identifica le seguenti versioni interessate e corrette:

Entrambe le installazioni a 32 bit e x64 sono interessate. Le organizzazioni che utilizzano Microsoft 365 Apps dovrebbero fare affidamento sulle informazioni sui rilasci di sicurezza di Office di Microsoft poiché i numeri di build differiscono tra i canali di servizio.

Microsoft ha pubblicato CVE-2026-124194 il 10 novembre 2026 e ha rilasciato i relativi aggiornamenti di sicurezza tramite Patch Tuesday. La vulnerabilità non è stata pubblicamente divulgata prima che fosse disponibile una correzione.

Microsoft accredita un ricercatore che usa lo pseudonimo “nono” e il ricercatore di sicurezza Benoît Sevens per aver scoperto o riportato il problema. SecurityWeek nota che il riconoscimento di Microsoft per Sevens fa riferimento all’uso del modello Claude AI di Anthropic durante la ricerca. Le fonti disponibili non forniscono la data esatta in cui la vulnerabilità è stata scoperta privatamente o inizialmente segnalata a Microsoft.

Lo scenario PoC di CVE-2026-124194 rimane meno importante rispetto allo stato di sfruttamento confermato. Microsoft e i due rapporti forniti non forniscono codice exploit pubblico o istruzioni dettagliate per la riproduzione. Alcuni aggregatori di exploit di terze parti hanno prodotto segnali contrastanti riguardo a nuovo materiale di prova recentemente pubblicato, quindi i difensori non dovrebbero fare affidamento sulla disponibilità di PoC pubblico quando valutano il rischio. Lo sfruttamento attivo è già stato stabilito indipendentemente da Microsoft e CISA.

Per la rilevazione di CVE-2026-124194, i difensori dovrebbero monitorare il traffico di endpoint e di rete insieme. Un segnale particolarmente utile è OUTLOOK.EXE che avvia traffico SMB verso una destinazione esterna o precedentemente non vista poco dopo che un utente apre un file di messaggio di Outlook.

Il traffico TCP in uscita sulla porta 445 merita particolare attenzione. Microsoft raccomanda di bloccare il traffico SMB in uscita su Internet come misura generale di difesa in profondità perché può impedire ai dispositivi interni di inviare dati SMB direttamente agli host esterni.

I team di sicurezza possono anche esaminare il registro operazionale NTLM di Microsoft sotto Applications and Services Logs/Microsoft/Windows/NTLM e auditare l’autenticazione NTLM in uscita. Microsoft fornisce una policy specificamente progettata per auditare o negare il traffico NTLM in uscita verso server remoti.

Punti di pivot utili per la caccia comportamentale includono:

• Outlook che avvia connessioni SMB esterne inaspettate.
• Tentativi di autenticazione NTLM verso destinazioni su Internet.
• Autenticazioni riuscite a servizi interni subito dopo attività sospette di Outlook.
• Attività del file di messaggio associata a connessioni di rete esterne insolite.
• Tentativi ripetuti di autenticazione che coinvolgono la stessa identità compromessa.
• Nuovi accessi da sistemi o indirizzi IP incompatibili con l’attività normale dell’utente.

I difensori dovrebbero evitare di considerare ogni connessione SMB o NTLM in uscita come prova di sfruttamento. Entrambe le tecnologie possono ancora esistere legittimamente negli ambienti enterprise. I rilevamenti più solidi correlano attività di Outlook, reputazione della destinazione, interazione dell’utente, telemetria NTLM e successivi comportamenti di autenticazione.

Microsoft non ha pubblicato IOCs specifici della campagna per CVE-2026-124194 come indirizzi IP maligni, domini, hash degli allegati, indirizzi del mittente o nomi di file associati agli attacchi osservati. L’identità degli attaccanti e il loro targeting rimangono non divulgati.

Questo significa che le organizzazioni attualmente devono dare priorità alla caccia basata sul comportamento piuttosto che sulla corrispondenza statica degli IOC.

Mitigazione di CVE-2026-124194

La principale azione di rimediazione è installare immediatamente gli aggiornamenti di sicurezza di Office di novembre 2026 di Microsoft.

Le installazioni di Office LTSC 2021 dovrebbero essere aggiornate alla build 16.0.14334.21048 o successiva, mentre le installazioni di Office LTSC 2024 dovrebbero eseguire la 16.0.17932.21140 o successiva. Gli utenti di Microsoft 365 Apps for Enterprise dovrebbero verificare che il loro canale di servizio abbia ricevuto il corrispondente aggiornamento di sicurezza corrente.

Poiché lo sfruttamento è già in corso, le organizzazioni dovrebbero verificare il successo della distribuzione piuttosto che assumere che gli aggiornamenti automatici di Office abbiano raggiunto tutti i dispositivi.

Gli amministratori dovrebbero prendere le seguenti azioni:

1. Inventario delle installazioni di Microsoft Outlook su endpoint gestiti.
2. Identifica i sistemi Microsoft 365 Apps, Office LTSC 2021 e Office LTSC 2024 che non hanno ricevuto l’aggiornamento di sicurezza di novembre.
3. Distribuisci immediatamente le build corrette e verifica l’installazione.
4. Rivedi gli endpoint che sono rimasti vulnerabili mentre lo sfruttamento era attivo.
5. Blocca il traffico SMB in uscita non necessario verso Internet.
6. Audita l’autenticazione NTLM in uscita e riduci l’uso di NTLM dove possibile operativamente.
7. Indaga attività inusuali di Outlook verso la rete e tentativi di autenticazione inaspettati.
8. Educare gli utenti a non aprire file di messaggi di Outlook non richiesti o allegati da fonti non affidabili.

Bloccare l’SMB in uscita sulla porta TCP 445 fornisce un importante strato di protezione aggiuntivo. Microsoft raccomanda esplicitamente di prevenire che il traffico SMB lasci la rete aziendale a meno che non vi sia un requisito operativo specifico per servizi SMB ospitati su Internet.

Le organizzazioni dovrebbero anche considerare di limitare NTLM. Windows fornisce la sicurezza di rete: Limita NTLM: Traffico NTLM in uscita verso server remoti policy, che può prima essere configurata in modalità di audit per identificare le dipendenze prima che gli amministratori inizino a bloccare l’autenticazione.

Disabilitare bruscamente NTLM in tutto l’enterprise può interrompere applicazioni e flussi di lavoro legacy. Le organizzazioni dovrebbero quindi auditarne l’uso, identificare le dipendenze legittime, implementare le eccezioni richieste e progressivamente spostare l’autenticazione verso Kerberos o altri meccanismi più forti.

Se viene identificato uno sfruttamento sospetto, installare semplicemente l’aggiornamento non è sufficiente per chiudere l’incidente.

I team di sicurezza dovrebbero identificare l’identità colpita e rivedere l’attività di autenticazione verificatasi dopo l’apertura del probabile file di messaggio. Cerca connessioni SMB insolite, accessi remoti, movimenti laterali, accesso a condivisioni di file, autenticazioni via VPN, accessi a cloud e altri servizi che accettano le credenziali colpite.

Dove le prove suggeriscono che le informazioni di autenticazione siano state esposte o abusate con successo, ripristina la password rilevante e revoca le sessioni attive secondo le procedure di risposta all’identità dell’organizzazione. Anche le credenziali privilegiate accessibili all’account colpito dovrebbero essere indagate.

I log di endpoint, proxy, firewall, email, EDR e identità dovrebbero essere conservati prima della rimediazione quando si sospetta una compromissione. Correlare queste fonti può aiutare a ricostruire la sequenza dal phishing alla divulgazione NTLM e alla possibile successiva autenticazione.

CISA ha aggiunto la vulnerabilità a KEV il 10 novembre e richiede alle agenzie federali applicabili di correggerla entro il 24 novembre 2026. CISA elenca l’uso noto delle campagne ransomware come sconosciuto.