CVE-2026-124194: Zero-Day w Microsoft Outlook Wykorzystywany do Kradzieży Skrótów NTLM

Microsoft załatał CVE-2026-124194, aktywnie wykorzystywaną lukę zero-day w Microsoft Outlook, która może umożliwić ujawnienie informacji uwierzytelniających NTLMv2 użytkownika, gdy otwarty zostanie specjalnie sformatowany plik wiadomości. Microsoft klasyfikuje ten problem jako podatność na podszywanie się i ocenia go jako umiarkowany z wynikiem CVSS 3.1 wynoszącym 6.5.

Luka ta pozwala na przesłanie złośliwego pliku wiadomości przez zdalnego atakującego bez uwierzytelnienia oraz przekonanie ofiary do jego otwarcia w podatnej wersji Outlook. Outlook może następnie połączyć się z lokalizacją sieciową kontrolowaną przez atakującego bez wyświetlenia ostrzeżenia o zawartości zewnętrznej, jakiego użytkownicy normalnie by się spodziewali. Podczas tego połączenia system Windows może ujawnić informacje uwierzytelniające NTLMv2, które mogą zostać wykorzystane do podszycia się pod ofiarę.

Kontakt ze sprzedażą

Microsoft potwierdził, że CVE-2026-124194 zostało już wykorzystane w atakach. Jednak firma nie ujawniła, którzy aktorzy zagrożeń są w to zaangażowani, skali kampanii, organizacji ofiar, infrastruktury dystrybucyjnej ani czy skradzione informacje uwierzytelniające zostały użyte do dalszego ruchu lateralnego lub przejęcia konta.

Błąd został rozwiązany w ramach wydania Patch Tuesday Microsoftu w listopadzie 2026 r. w dniu 10 listopada. Produkty objęte tym problemem to Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 i Microsoft Office LTSC 2024 na systemach 32-bitowych i x64.

CISA dodała tę lukę do katalogu znanych wykorzystywanych luk w dniu 10 listopada, potwierdzając dowody na aktywne wykorzystanie i ustalając 24 listopada 2026 jako termin naprawy dla odpowiednich agencji federalnych USA.

Zespoły ds. bezpieczeństwa mogą wykorzystać AI-Native Detection Intelligence Platform od SOC Prime do operacjonalizowania danych wywiadowczych o zagrożeniach, identyfikowania podejrzanej aktywności Outlook i NTLM oraz przyspieszania inżynierii detekcji i poszukiwania zagrożeń w środowiskach SIEM, EDR, XDR i Data Lake.

Wykryj CVE-2026-124194 poprzez korelację aktywności Outlook z nieoczekiwanymi zewnętrznymi połączeniami SMB, próbami uwierzytelnienia NTLM do systemów zewnętrznych, podejrzanym uruchomieniem pliku wiadomości i następującym po nim wykorzystaniem poświadczeń lub tożsamości.

Treści detekcyjne mogą nie być dostępne dla każdego CVE. Sprawdź obecne pokrycie na SOC Prime Platform. Jeśli odpowiednie detekcje jeszcze nie są dostępne, sprawdzaj ponownie, ponieważ nowe informacje wywiadowcze i treści detekcyjne są ciągle dodawane.

Analiza CVE-2026-124194

CVE-2026-124194 wpływa na Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 i Microsoft Office LTSC 2024. Microsoft przypisuje wadzie wynik CVSS 3.1 wynoszący 6.5 z wektorem AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N, odzwierciedlając zdalną dostępność, niską złożoność ataku, brak wymaganych przywilejów atakującego, wymaganą interakcję użytkownika i wysoki wpływ na poufność.

Luka ta jest klasyfikowana jako CWE-356, Produktowe UI Nie Ostrzega Użytkownika o Niebezpiecznych Akcjach. W praktyce oznacza to, że Outlook nie wyświetla ostrzeżenia, które normalnie powinno ostrzec użytkownika przed uzyskaniem dostępu do potencjalnie niebezpiecznych treści zewnętrznych.

Wykorzystanie zaczyna się od specjalnie sformatowanego pliku wiadomości Outlook dostarczonego do celu. Atakujący nie potrzebuje konta na systemie ofiary ani tenantcie Microsoft 365, ale ofiara musi otworzyć złośliwy plik. Microsoft szczególnie podkreśla, że Podgląd Szybki nie jest wektorem ataku, co oznacza, że samo wyświetlanie wiadomości w interfejsie podglądu Outlooka nie wystarcza.

Gdy plik zostanie otwarty, Outlook może zainicjować połączenie z lokalizacją sieciową kontrolowaną przez atakującego, nie prezentując standardowego ostrzeżenia o zewnętrznej zawartości.

Jest to istotne, ponieważ środowiska Windows mogą automatycznie próbować uwierzytelnienia NTLM podczas uzyskiwania dostępu do zasobów zdalnych. Powstała wymiana wyzwanie-odpowiedź może ujawnić skrót uwierzytelnienia NTLMv2 użytkownika do zdalnego serwera.

Skrót NTLMv2 nie jest hasłem w postaci tekstu jawnego użytkownika. Jednakże posiadanie materiału uwierzytelniającego może wprowadzać różne późniejsze ryzyka w zależności od środowiska i możliwości atakującego. BleepingComputer zauważa, że przechwycone hasze mogą zostać poddane łamaniu offline, podczas gdy doradztwo Microsoftu ostrzega, że wyciekłe informacje uwierzytelniające mogą potencjalnie być użyte do uwierzytelnienia się jako ofiara.

To powoduje, że luka jest szczególnie istotna dla środowisk przedsiębiorstw, które wciąż w dużym stopniu polegają na NTLM dla udziałów plików, stosowanych aplikacji, zasobów zdalnych lub wewnętrznych przepływów uwierzytelnienia.

Wynik CVSS wynoszący 6.5 może początkowo wyglądać relatywnie skromnie dla luki zero-day pod aktywnym wykorzystaniem. Wynik odzwierciedla fakt, że eksploatacja wymaga interakcji użytkownika i głównie wpływa na poufność, a nie bezpośrednio na wykonanie kodu, utratę integralności lub zakłócenie usługi.

Operacyjne ryzyko jest jednak znacznie większe, ponieważ Microsoft zaobserwował już eksploatację, a CISA niezależnie dodała tę lukę do KEV. Zespoły ds. bezpieczeństwa powinny zatem priorytetyzować status eksploatacji nad samym wynikiem CVSS przy określaniu pilności naprawy.

Rekord CVE identyfikuje następujące wersje dotknięte i naprawione:

Produkt	Dotknięte wersje	Naprawiona wersja
Microsoft 365 Apps for Enterprise	Podatne wersje przed odpowiednią listopadową aktualizacją zabezpieczeń	Obecne wydanie zabezpieczeń Office
Microsoft Office LTSC 2021	Wcześniej niż 16.0.14334.21048	16.0.14334.21048
Microsoft Office LTSC 2024	Wcześniej niż 16.0.17932.21140	16.0.17932.21140

Zarówno instalacje 32-bitowe, jak i x64 są dotknięte. Organizacje używające Microsoft 365 Apps powinny polegać na informacjach Office Security Releases od Microsoftu, ponieważ numery kompilacji różnią się w kanałach serwisowych.

Microsoft opublikował CVE-2026-124194 10 listopada 2026 r. i wydał odpowiednie aktualizacje zabezpieczeń w ramach Patch Tuesday. Luka nie była publicznie ujawniana przed dostępnością poprawki.

Microsoft przypisuje odkrycie lub zgłoszenie problemu badaczowi używającemu pseudonimu „nono” oraz badaczowi bezpieczeństwa Benoît Sevens. SecurityWeek zauważa, że uznanie dla Sevens przez Microsoft odnosi się do użycia modelu Claude AI od Anthropic podczas badań. Dostępne źródła nie podają dokładnej daty, w której luka została prywatnie odkryta lub początkowo zgłoszona do Microsoftu.

Krajobraz PoC CVE-2026-124194 pozostaje mniej istotny niż potwierdzony status eksploatacji. Microsoft i dwa dostarczone raporty nie dostarczają publicznego kodu exploita ani szczegółowych instrukcji reprodukcji. Niektórzy agregatorzy exploitów innych firm wyprodukowali sprzeczne sygnały dotyczące nowo opublikowanego materiału dowodowego, więc obrońcy nie powinni polegać na dostępności publicznego PoC przy ocenie ryzyka. Aktywna eksploatacja została już niezależnie potwierdzona przez Microsoft i CISA.

Dla wykrycia CVE-2026-124194 obrońcy powinni monitorować aktywność końcówek i sieci jednocześnie. Szczególnie wartościowym sygnałem jest OUTLOOK.EXE inicjujący ruch SMB w kierunku zewnętrznego lub wcześniej niewidzianego celu krótko po otwarciu pliku wiadomości Outlook przez użytkownika.

Wychodzący ruch TCP na porcie 445 zasługuje na szczególną uwagę. Microsoft zaleca blokowanie wychodzącego ruchu SMB do Internetu jako ogólną kontrolę obrony w głębokości, ponieważ może to zapobiec przesyłaniu danych SMB z urządzeń wewnętrznych bezpośrednio do hostów zewnętrznych.

Zespoły ds. bezpieczeństwa mogą również przejrzeć dziennik operacyjny NTLM Microsoft pod Aplikacjami i Dziennikami Usług/Microsoft/Windows/NTLM oraz audytować wychodzące uwierzytelnienie NTLM. Microsoft dostarcza politykę specjalnie zaprojektowaną do audytowania lub odmowy wychodzącego ruchu NTLM do zdalnych serwerów.

Użyteczne przestawienia w poszukiwaniu behawioralnym obejmują:

• Outlook inicjujący nieoczekiwane połączenia SMB zewnętrzne.
• Próby uwierzytelnienia NTLM w kierunku celów internetowych.
• Udane uwierzytelnienia w usługi wewnętrzne krótko po podejrzanej aktywności Outlook.
• Aktywność plików wiadomości związana z nietypowymi zewnętrznymi połączeniami sieciowymi.
• Powtarzające się próby uwierzytelnienia z wykorzystaniem tej samej skompromitowanej tożsamości.
• Nowe logowania z systemów lub adresów IP niezgodnych z normalną aktywnością użytkownika.

Obrońcy powinni unikać postrzegania każdego wychodzącego połączenia SMB lub NTLM jako dowodu na eksploatację. Obie technologie mogą nadal istnieć legalnie w środowiskach przedsiębiorstw. Najsilniejsze detekcje skorelują aktywność Outlook, reputację miejsca docelowego, interakcję użytkownika, telemetrię NTLM i następujące po tym zachowanie uwierzytelnienia.

Microsoft nie opublikował specyficznych kampanii CVE-2026-124194 IOC, takich jak złośliwe adresy IP, domeny, hasze załączników, adresy nadawców lub nazwy plików związane z zaobserwowanymi atakami. Tożsamość atakujących i ich celowanie pozostają nieujawnione.

Oznacza to, że organizacje muszą obecnie priorytetowo traktować poszukiwanie oparte na zachowaniu zamiast statycznego dopasowywania IOC.

Łagodzenie CVE-2026-124194

Głównym działaniem naprawczym jest natychmiastowa instalacja listopadowych aktualizacji zabezpieczeń Office od Microsoftu.

Instalacje Office LTSC 2021 powinny zostać zaktualizowane do wersji 16.0.14334.21048 lub późniejszej, podczas gdy instalacje Office LTSC 2024 powinny działać na wersji 16.0.17932.21140 lub późniejszej. Użytkownicy Microsoft 365 Apps for Enterprise powinni zweryfikować, czy ich kanał serwisowy otrzymał odpowiednie bieżące wydanie zabezpieczeń.

Ponieważ eksploatacja już ma miejsce, organizacje powinny zweryfikować pomyślne wdrożenie zamiast zakładać, że zautomatyzowane aktualizacje Office dotarły na każde urządzenie.

Administratorzy powinni podjąć następujące działania:

1. Sporządzenie inwentarza instalacji Microsoft Outlook na zarządzanych punktach końcowych.
2. Identyfikacja systemów Microsoft 365 Apps, Office LTSC 2021 i Office LTSC 2024, które nie otrzymały listopadowej aktualizacji zabezpieczeń.
3. Natychmiastowe wdrożenie poprawionych kompilacji i weryfikacja instalacji.
4. Przegląd punktów końcowych, które pozostały podatne na działanie podczas aktywnej eksploatacji.
5. Blokowanie niepotrzebnego wychodzącego ruchu SMB do internetu.
6. Audytowanie wychodzącego uwierzytelnienia NTLM i ograniczanie wykorzystania NTLM, gdziekolwiek jest to operacyjnie możliwe.
7. Badanie nietypowej aktywności Outlook-w-sieci i nieoczekiwanych prób uwierzytelnienia.
8. Edukowanie użytkowników, aby nie otwierali niezamówionych plików wiadomości Outlook ani załączników z nieznanych źródeł.

Blokowanie wychodzącego SMB na porcie TCP 445 stanowi ważną dodatkową warstwę ochrony. Microsoft wyraźnie zaleca zapobieganie opuszczaniu sieci korporacyjnej przez ruch SMB, chyba że istnieje szczególny wymóg operacyjny dla usług SMB hostowanych w Internecie.

Organizacje powinny również rozważyć ograniczenie NTLM. Windows zapewnia politykę Bezpieczeństwo sieci: Ograniczenie NTLM: Wychodzący ruch NTLM do zdalnych serwerów , która może być najpierw skonfigurowana w trybie audytu do identyfikacji zależności, zanim administratorzy zaczną blokować uwierzytelnienie.

Nagłe wyłączenie NTLM w całym przedsiębiorstwie może przerwać działanie aplikacji i przepływów pracy legacy. Organizacje powinny zatem audytować wykorzystanie, identyfikować legalne zależności, wprowadzać wymagane wyjątki i stopniowo przenosić uwierzytelnienie na Kerberos lub inne silniejsze mechanizmy.

Jeśli zidentyfikowane zostanie podejrzane eksploatowanie, samo zainstalowanie aktualizacji nie wystarczy, aby zamknąć zdarzenie.

Zespoły ds. bezpieczeństwa powinny identyfikować dotkniętą tożsamość i przeglądać aktywność uwierzytelnienia, która wystąpiła po otwarciu podejrzanego pliku wiadomości. Należy szukać nietypowych połączeń SMB, zdalnych logonów, ruchu lateralnego, dostępu do udziałów plików, uwierzytelnienia VPN, logowań chmury i innych usług, które akceptują dotknięte poświadczenia.

Gdzie dowody sugerują, że informacje uwierzytelniające zostały ujawnione lub skutecznie wykorzystane, należy zresetować odpowiednie hasło i unieważnić aktywne sesje zgodnie z procedurami reakcji tożsamości organizacji. Dodatkowe poświadczenia z przywilejami dostępne dla dotkniętego konta powinny również zostać zbadane.

Dzienniki końcówek, proxy, zapory, e-mail, EDR i tożsamości powinny być zachowane przed naprawą, gdy podejrzewa się kompromis. Korelowanie tych źródeł może pomóc w rekonstruowaniu sekwencji od dostarczania phishingu przez ujawnienie NTLM do ewentualnego późniejszego uwierzytelnienia.

CISA dodała lukę do KEV 10 listopada i wymaga od federalnych agencji wyremedziowania jej do 24 listopada 2026 r. CISA wskazuje, że znany jest nieznany przypadek użycia kampanii ransomware.