Seguir A Microsoft corrigiu a CVE-2026-124194, uma vulnerabilidade de dia zero explorada ativamente no Microsoft Outlook que pode expor as informações de autenticação NTLMv2 de um usuário quando um arquivo de mensagem especialmente criado é aberto. A Microsoft classifica o problema como uma vulnerabilidade de spoofing e o classifica como Moderado com uma pontuação CVSS 3.1 de 6.5.
A vulnerabilidade permite que um atacante remoto não autenticado envie um arquivo de mensagem malicioso e convença a vítima a abri-lo em uma versão afetada do Outlook. O Outlook pode então se conectar a um local de rede controlado pelo atacante sem exibir o aviso de conteúdo externo que os usuários normalmente esperariam. Durante essa conexão, o Windows pode expor informações de autenticação NTLMv2 que podem potencialmente ser abusadas para personificar a vítima.
A Microsoft confirmou que a CVE-2026-124194 já foi explorada em ataques. No entanto, a empresa não divulgou os atores de ameaça envolvidos, a escala da campanha, as organizações vítimas, a infraestrutura de entrega ou se o material de autenticação roubado foi usado para movimento lateral subsequente ou comprometimento de conta.
A falha foi resolvida como parte do lançamento do Patch Tuesday de novembro de 2026 da Microsoft em 10 de novembro. Produtos afetados incluem Microsoft 365 Apps para Empresas, Microsoft Office LTSC 2021 e Microsoft Office LTSC 2024 em sistemas tanto de 32 bits quanto x64.
O CISA adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Exploradas Conhecidas em 10 de novembro, confirmando evidências de exploração ativa e estabelecendo 24 de novembro de 2026 como o prazo de remediação para agências federais dos EUA aplicáveis.
As equipes de segurança podem usar a Plataforma de Inteligência de Detecção Nativa da IA da SOC Prime para operacionalizar inteligência sobre ameaças, identificar atividades suspeitas no Outlook e NTLM e acelerar a engenharia de detecção e a caça a ameaças em ambientes SIEM, EDR, XDR e Data Lake.
Detecte a CVE-2026-124194 correlacionando a atividade do Outlook com conexões SMB de saída inesperadas, tentativas de autenticação NTLM para sistemas externos, execução suspeita de arquivos de mensagem e abuso subsequente de credenciais ou identidade.
O conteúdo de detecção pode não estar disponível para cada CVE. Verifique a Plataforma SOC Prime para cobertura atual. Se as detecções relevantes ainda não estiverem disponíveis, verifique novamente, pois novas informações sobre ameaças e conteúdo de detecção são continuamente adicionadas.
Análise da CVE-2026-124194
A CVE-2026-124194 afeta o Microsoft 365 Apps para Empresas, Microsoft Office LTSC 2021 e Microsoft Office LTSC 2024. A Microsoft atribui à falha uma pontuação CVSS 3.1 de 6.5 com o vetor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N, refletindo acessibilidade remota, baixa complexidade de ataque, sem privilégios de atacante necessários, interação do usuário necessária e alto impacto na confidencialidade.
A vulnerabilidade é classificada sob CWE-356, Produto UI não avisa o usuário de ações inseguras. Em termos práticos, o Outlook não exibe o aviso que deveria normalmente alertar um usuário antes de o aplicativo acessar potencialmente conteúdo externo perigoso.
A exploração começa com um arquivo de mensagem do Outlook especialmente criado entregue ao alvo. O atacante não precisa de uma conta no sistema da vítima ou inquilino do Microsoft 365, mas a vítima deve abrir o arquivo malicioso. A Microsoft declara especificamente que o Painel de Visualização não é um vetor de ataque, significando que simplesmente exibir a mensagem na interface de visualização do Outlook não é suficiente.
Uma vez que o arquivo é aberto, o Outlook pode iniciar uma conexão com um local de rede controlado pelo atacante sem apresentar o aviso de conteúdo externo usual.
Isto é significativo porque os ambientes Windows podem automaticamente tentar a autenticação NTLM ao acessar recursos remotos. A troca desafio-resposta resultante pode expor o hash de autenticação NTLMv2 do usuário para o servidor remoto.
Um hash NTLMv2 não é a senha em texto claro do usuário. No entanto, a posse do material de autenticação pode criar vários riscos subsequentes dependendo do ambiente e das capacidades do atacante. O BleepingComputer observa que os hashes capturados podem ser submetidos a quebra de senha offline, enquanto o aviso da Microsoft alerta que as informações de autenticação vazadas podem potencialmente ser usadas para autenticar-se como a vítima.
Isso torna a vulnerabilidade particularmente relevante para ambientes empresariais que ainda dependem fortemente de NTLM para compartilhamento de arquivos, aplicativos legados, recursos remotos ou fluxos de trabalho de autenticação interna.
A pontuação CVSS de 6.5 pode inicialmente parecer relativamente modesta para um dia zero em exploração ativa. A pontuação reflete o fato de que a exploração requer interação do usuário e afeta principalmente a confidencialidade em vez de diretamente entregar execução de código, perda de integridade ou interrupção de serviço.
O risco operacional é, no entanto, consideravelmente mais alto porque a Microsoft já observou exploração e a CISA adicionou independentemente a falha ao KEV. As equipes de segurança devem, portanto, priorizar o status de exploração sobre apenas o CVSS ao determinar a urgência da remediação.
O registro CVE identifica as seguintes versões afetadas e corrigidas:
| Produto | Versões afetadas | Versão corrigida |
| Microsoft 365 Apps para Empresas | Lançamentos vulneráveis antes da atualização de segurança de novembro aplicável | Versão Atual de Segurança do Office |
| Microsoft Office LTSC 2021 | Antes de 16.0.14334.21048 | 16.0.14334.21048 |
| Microsoft Office LTSC 2024 | Antes de 16.0.17932.21140 | 16.0.17932.21140 |
Tanto instalações de 32 bits quanto x64 são afetadas. Organizações que usam Microsoft 365 Apps devem confiar nas informações de Lançamentos de Segurança do Office da Microsoft porque os números de compilação diferem entre os canais de serviço.
A Microsoft publicou a CVE-2026-124194 em 10 de novembro de 2026 e lançou as atualizações de segurança correspondentes através do Patch Tuesday. A vulnerabilidade não foi divulgada publicamente antes de uma correção estar disponível.
A Microsoft credita a um pesquisador com o pseudônimo “nono” e ao pesquisador de segurança Benoît Sevens por descobrir ou reportar o problema. O SecurityWeek observa que o reconhecimento da Microsoft para Sevens faz referência ao uso do modelo Anthropic’s Claude AI durante a pesquisa. As fontes disponíveis não fornecem a data exata em que a vulnerabilidade foi descoberta privadamente ou inicialmente reportada à Microsoft.
O panorama de PoC da CVE-2026-124194 permanece menos importante do que o status de exploração confirmado. A Microsoft e os dois relatórios fornecidos não oferecem código de exploração pública ou instruções detalhadas de reprodução. Alguns agregadores de exploração de terceiros produziram sinais conflitantes sobre o material recém-publicado de prova de conceito, então os defensores não devem contar com a disponibilidade pública de PoC ao avaliar o risco. A exploração ativa já foi estabelecida independentemente através da Microsoft e CISA.
Para detecção da CVE-2026-124194, os defensores devem monitorar a atividade de endpoint e de rede juntos. Um sinal particularmente valioso é o OUTLOOK.EXE iniciando tráfego SMB em direção a um destino externo ou anteriormente desconhecido pouco depois de um usuário abrir um arquivo de mensagem do Outlook.
O tráfego de saída na porta TCP 445 merece atenção especial. A Microsoft recomenda bloquear o tráfego SMB de saída para a internet como um controle geral de defesa em profundidade, pois pode impedir que dispositivos internos enviem dados SMB diretamente para hosts externos.
As equipes de segurança também podem revisar o log Operacional NTLM da Microsoft em Logs de Aplicações e Serviços/Microsoft/Windows/NTLM e auditar a autenticação NTLM de saída. A Microsoft fornece uma política especificamente projetada para auditar ou negar o tráfego NTLM de saída para servidores remotos.
Pontos pivô úteis para caça comportamental incluem:
- Outlook iniciando conexões SMB externas inesperadas.
- Tentativas de autenticação NTLM em direção a destinos na internet.
- Autenticação bem-sucedida para serviços internos logo após atividade suspeita do Outlook.
- Atividade de arquivos de mensagem associada a conexões de rede externa incomuns.
- Tentativas repetidas de autenticação envolvendo a mesma identidade comprometida.
- Novos logons a partir de sistemas ou endereços IP inconsistentes com a atividade normal do usuário.
Os defensores devem evitar tratar cada conexão SMB ou NTLM de saída como prova de exploração. Ambas as tecnologias ainda podem existir legitimamente em ambientes empresariais. As detecções mais fortes irão correlacionar a atividade do Outlook, a reputação do destino, a interação do usuário, a telemetria NTLM e o comportamento de autenticação subsequente.
A Microsoft não publicou IOCs específicos de campanha para a CVE-2026-124194, como endereços IP maliciosos, domínios, hashes de anexos, endereços de remetentes ou nomes de arquivos associados aos ataques observados. A identidade dos atacantes e seu alvo permanecem não divulgados.
Isso significa que as organizações atualmente precisam priorizar a caça baseada em comportamento em vez de correspondência de IOC estático.
Mitigação da CVE-2026-124194
A principal remediação é instalar imediatamente as atualizações de segurança do Office de novembro de 2026 da Microsoft.
As instalações do Office LTSC 2021 devem ser atualizadas para a build 16.0.14334.21048 ou posterior, enquanto as do Office LTSC 2024 devem rodar 16.0.17932.21140 ou posterior. Os usuários do Microsoft 365 Apps para Empresas devem verificar se seu canal de serviço recebeu a versão atual de segurança correspondente.
Como a exploração já está ocorrendo, as organizações devem verificar a implantação bem-sucedida em vez de presumir que as atualizações automáticas do Office chegaram a todos os dispositivos.
Os administradores devem tomar as seguintes ações:
- Inventariar instalações do Microsoft Outlook em endpoints gerenciados.
- Identificar os sistemas do Microsoft 365 Apps, Office LTSC 2021 e Office LTSC 2024 que não receberam a atualização de segurança de novembro.
- Implantar as builds corrigidas imediatamente e verificar a instalação.
- Revisar endpoints que permaneceram vulneráveis enquanto a exploração estava ativa.
- Bloquear tráfego SMB de saída desnecessário para a internet.
- Auditar a autenticação NTLM de saída e reduzir o uso de NTLM sempre que operacionalmente possível.
- Investigar atividade de rede incomum do Outlook e tentativas inesperadas de autenticação.
- Educar os usuários a não abrirem arquivos de mensagem ou anexos do Outlook não solicitados de fontes não confiáveis.
Bloquear SMB de saída na porta TCP 445 fornece uma camada adicional importante de proteção. A Microsoft recomenda explicitamente impedir o tráfego SMB de sair da rede corporativa, a menos que haja um requisito operacional específico para serviços SMB hospedados na internet.
As organizações também devem considerar restringir o NTLM. O Windows fornece a segurança de rede: Restringir NTLM: Tráfego NTLM de saída para servidores remotos política, que pode primeiro ser configurada no modo auditado para identificar dependências antes que os administradores comecem a bloquear a autenticação.
Desabilitar abruptamente o NTLM em toda a empresa pode quebrar aplicativos e fluxos de trabalho legados. As organizações devem, portanto, auditar o uso, identificar dependências legítimas, implementar exceções necessárias e mover progressivamente a autenticação em direção ao Kerberos ou outros mecanismos mais fortes.
Se uma exploração suspeita for identificada, apenas instalar a atualização não é suficiente para fechar o incidente.
As equipes de segurança devem identificar a identidade afetada e revisar a atividade de autenticação ocorrendo após o arquivo de mensagem suspeito ter sido aberto. Procure por conexões SMB incomuns, logons remotos, movimento lateral, acesso a compartilhamentos de arquivos, autenticação VPN, logins na nuvem e outros serviços que aceitem as credenciais afetadas.
Onde as evidências sugerem que as informações de autenticação foram expostas ou abusadas com sucesso, redefina a senha relevante e revogue as sessões ativas de acordo com os procedimentos de resposta de identidade da organização. Credenciais privilegiadas adicionais acessíveis à conta afetada também devem ser investigadas.
Logs de endpoint, proxy, firewall, email, EDR e identidade devem ser preservados antes da remediação quando o comprometimento é suspeitado. Correlacionar essas fontes pode ajudar a reconstruir a sequência desde a entrega de phishing até a divulgação NTLM e possível autenticação subsequente.
O CISA adicionou a vulnerabilidade ao KEV em 10 de novembro e exige que as agências federais aplicáveis a remediem até 24 de novembro de 2026. A CISA lista o uso conhecido de campanha de ransomware como desconhecido.
FAQ
O que é CVE-2026-124194 e como funciona?
A CVE-2026-124194 é uma vulnerabilidade de spoofing do Microsoft Outlook explorada ativamente causada pelo Outlook ao não avisar os usuários antes de executar uma ação potencialmente insegura de conteúdo externo. Um atacante pode enviar um arquivo de mensagem especialmente criado e convencer um usuário a abri-lo. O Outlook pode então se conectar a um recurso de rede controlado pelo atacante e expor as informações de autenticação NTLMv2 do usuário sem exibir o aviso esperado.
Quando a CVE-2026-124194 foi descoberta pela primeira vez?
A Microsoft divulgou publicamente e corrigiu a vulnerabilidade em 10 de novembro de 2026. A empresa credita aos pesquisadores “nono” e Benoît Sevens, mas os relatórios públicos disponíveis não especificam a data exata da descoberta privada original. A vulnerabilidade não era publicamente conhecida antes de a Microsoft liberar a correção.
Qual é o impacto da CVE-2026-124194 nos sistemas?
A exploração bem-sucedida pode divulgar o hash de autenticação NTLMv2 de um usuário para um servidor controlado pelo atacante. Os atacantes podem potencialmente usar as informações de autenticação capturadas para personificar a vítima, tentar recuperação offline de senha ou obter acesso não autorizado a serviços que aceitam as credenciais comprometidas. A vulnerabilidade em si não fornece execução de código remoto direta.
A CVE-2026-124194 ainda pode me afetar em 2026?
Sim. A Microsoft confirmou exploração ativa, e o CISA adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Exploradas Conhecidas em 10 de novembro de 2026. Sistemas executando versões vulneráveis do Outlook permanecem em risco até que a atualização de segurança correspondente do Office seja instalada.
Como posso me proteger da CVE-2026-124194?
Instale imediatamente as atualizações de segurança do Office de novembro de 2026 da Microsoft, verifique se as instalações afetadas do Outlook estão rodando builds corrigidas, bloqueie tráfego SMB de saída desnecessário e audite ou restrinja a autenticação NTLM de saída. Os usuários também devem evitar abrir arquivos de mensagens do Outlook não solicitados de fontes desconhecidas. As equipes de segurança devem continuar monitorando as orientações da Microsoft para obter detalhes atualizados sobre a CVE-2026-124194 à medida que informações adicionais sobre a campanha de exploração se tornam disponíveis.
