CVE-2026-124194: Використання нульового дня Microsoft Outlook для крадіжки гешів NTLM

Корпорація Microsoft виправила CVE-2026-124194, активно експлуатовану вразливість нульового дня у Microsoft Outlook, яка може розкрити інформацію NTLMv2 автентифікації користувача при відкритті спеціально підготовленого файлу повідомлення. Microsoft класифікує цю проблему як вразливість підробки і оцінює її як Помірну, з рейтингом CVSS 3.1 у 6.5.

Ця вразливість дозволяє неавтентифікованому віддаленому зловмиснику надіслати шкідливий файл повідомлення і переконати жертву відкрити його в ураженій версії Outlook. Потім Outlook може підключитися до мережевого ресурсу, контрольованого зловмисником, не відображаючи попередження про зовнішній вміст, яке зазвичай очікують користувачі. Під час цього підключення Windows може розкрити інформацію NTLMv2 автентифікації, яка потенційно може бути використана для видавання себе за жертву.

Зв’язатися з продажами

Microsoft підтвердила, що CVE-2026-124194 вже була використана в атаках. Проте компанія не розкрила, які саме актори загроз були залучені, масштаби кампанії, організації жертв, інфраструктуру доставки або те, чи були викрадені автентифікаційні дані використані для подальшого бічного руху або компрометації облікових записів.

Недолік був усунутий в рамках листопадового випуску Microsoft Patch Tuesday 2026 року 10 листопада. Уражені продукти включають Microsoft 365 Apps для підприємств, Microsoft Office LTSC 2021 та Microsoft Office LTSC 2024 на обох системах – 32-розрядних та x64.

CISA додала цю вразливість до свого каталогу відомих експлуатованих вразливостей 10 листопада, підтвердивши докази активного використання та встановивши 24 листопада 2026 року як термін усунення для відповідних федеральних установ США.

Команди безпеки можуть використовувати Платформу Виявлення на основі штучного інтелекту SOC Prime для оперативного використання розвідки загроз, виявлення підозрілої активності в Outlook та NTLM, а також для прискорення проєктування виявлення та полювання на загрози через середовища SIEM, EDR, XDR та Data Lake.

Виявляйте CVE-2026-124194, корелюючи активність Outlook з несподіваними вихідними SMB-з’єднаннями, спробами автентифікації NTLM до зовнішніх систем, підозрілим виконанням файлів повідомлень і подальшим зловживанням обліковими даними або ідентифікацією.

Зміст виявлення може бути недоступний для кожного CVE. Перевірте платформу SOC Prime для поточного покриття. Якщо відповідні виявлення ще не доступні, перевірте знову, оскільки нова розвідка загроз та зміст виявлення постійно додаються.

Аналіз CVE-2026-124194

CVE-2026-124194 впливає на Microsoft 365 Apps для підприємств, Microsoft Office LTSC 2021 та Microsoft Office LTSC 2024. Microsoft присвоює помилці рейтинг CVSS 3.1 у 6.5 з вектором AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N, що відображає віддалену доступність, низьку складність атаки, відсутність необхідних привілеїв зловмисника, необхідність взаємодії з користувачем та високий вплив на конфіденційність.

Ця вразливість класифікується під CWE-356, Продуктовий інтерфейс користувача не попереджає користувача про небезпечні дії. У практичному плані Outlook не відображає попередження, яке зазвичай має попередити користувача перед тим, як застосунок звернеться до потенційно небезпечного зовнішнього вмісту.

Експлуатація починається з доставки спеціально підготовленого файлу повідомлення Outlook від цільового зловмисника. Зловмиснику не потрібно мати обліковий запис на системі жертви або в тенанті Microsoft 365, але жертва повинна відкрити шкідливий файл. Microsoft зазначає, що панель попереднього перегляду не є вектором атаки, тобто просто відображення повідомлення в інтерфейсі попереднього перегляду Outlook не є достатнім.

Після відкриття файлу Outlook може ініціювати підключення до мережевого ресурсу, контрольованого зловмисником, не відображаючи зазвичай попередження про зовнішній вміст.

Це важливо, оскільки середовище Windows може автоматично намагатися здійснити автентифікацію NTLM при доступі до віддалених ресурсів. У результаті обміну викликами-відповідями може бути розкрито хеш NTLMv2 автентифікації користувача віддаленому серверу.

Хеш NTLMv2 не є відкритим паролем користувача. Однак володіння автентифікаційними даними може створити декілька ризиків залежно від середовища та можливостей зловмисника. Інформаційний ресурс BleepingComputer зазначає, що захоплені хеші можуть піддаватися оффлайн-розкриванню паролів, тоді як рекомендації Microsoft попереджають, що витеклі автентифікаційні дані можуть використовуватися для автентифікації від імені жертви.

Це робить вразливість особливо актуальною для корпоративних середовищ, які все ще сильно залежать від NTLM для файлів, старих додатків, віддалених ресурсів або внутрішніх робочих процесів автентифікації.

Бала CVSS 6.5 може здаватися відносно скромною для «нульового дня», що активно експлуатується. Бала відображає той факт, що для експлуатації потрібна взаємодія користувачів і вона в основному впливає на конфіденційність, а не безпосередньо забезпечує виконання коду, втрату цілісності або порушення надання послуг.

Операційний ризик тим не менш значно вищий, оскільки Microsoft вже зафіксувала експлуатацію, і CISA незалежно додала недоліки до KEV. Тому команди безпеки повинні надавати пріоритет експлуатаційному статусу над самим CVSS при визначенні термінів усунення.

Запис CVE визначає такі вразливі та виправлені версії:

Продукт	Уражені версії	Виправлена версія
Microsoft 365 Apps для підприємств	Вразливі випуски до відповідного листопадового оновлення безпеки	Поточний випуск безпеки Office
Microsoft Office LTSC 2021	Раніше 16.0.14334.21048	16.0.14334.21048
Microsoft Office LTSC 2024	Раніше 16.0.17932.21140	16.0.17932.21140

Як установки 32-бітні, так і x64 версії уражені. Організаціям, які використовують Microsoft 365 Apps, слід покладатися на інформацію відносно випусків безпеки Office від Microsoft, оскільки номери збірок відрізняються між каналами обслуговування.

Microsoft опублікувала CVE-2026-124194 10 листопада 2026 року та випустила відповідні оновлення безпеки через Patch Tuesday. Вразливість не була публічно розкрита до того, як стало доступним виправлення.

Microsoft відзначила дослідника під псевдонімом “nono” та дослідника з безпеки Бенуа Севенса за відкриття або інформування про проблему. SecurityWeek зазначає, що визнання Microsoft для Севенса стосується використання моделі Anthropic Claude AI під час дослідження. Доступні джерела не надають точної дати, коли вразливість була вперше виявлена приватно або повідомлена Microsoft.

Ландшафт доказів концепції CVE-2026-124194 залишається менш важливим, ніж підтверджений статус експлуатації. Microsoft і два пропоновані звіти не надають публічного коду експлуатації або детальних інструкцій по відтворенню. Деякі агрегатори експлуатацій третьої сторони видали суперечливі сигнали щодо нових опублікованих доказів концепційного матеріалу, тому захисники не повинні покладатися на доступність публічних доказів концепції при оцінці ризику. Активна експлуатація вже була незалежно встановлена через Microsoft і CISA.

Для виявлення CVE-2026-124194 захисники повинні контролювати активність кінцевих точок і мережі разом. Один із особливо цінних сигналів – це ініціація OUTLOOK.EXE трафіку SMB у напрямку зовнішнього або попередньо невидимому призначенню незабаром після того, як користувач відкриває файл повідомлення Outlook.

Вихідний трафік TCP порту 445 заслуговує особливої уваги. Microsoft рекомендує блокувати вихідний трафік SMB в Інтернет як загальний контроль захисту вглиб, оскільки це може запобігти відправці внутрішніми пристроями даних SMB безпосередньо до зовнішніх хостів.

Команди безпеки також можуть переглянути журнал роботи NTLM Microsoft під Програмами та Сервісними Журналами/Microsoft/Windows/NTLM і проводити аудит вихідної автентифікації NTLM. Microsoft надає політику, спеціально розроблену для аудиту або відмови у вихідному трафіку NTLM до віддалених серверів.

Корисні орієнтири для поведінкового полювання включають:

• Outlook ініціює несподівані зовнішні з’єднання SMB.
• Спроби автентифікації NTLM у напрямку інтернет-призначень.
• Успішна автентифікація до внутрішніх сервісів невдовзі після підозрілої активності в Outlook.
• Активність файлів-повідомлень, пов’язана з незвичними зовнішніми мережевими підключеннями.
• Повторні спроби автентифікації з використанням тієї ж скомпрометованої ідентичності.
• Нові входи у систему з систем або IP-адрес, не характерних для звичайної активності користувача.

Захисники повинні уникати сприйняття кожного вихідного з’єднання SMB або NTLM як доказу експлуатації. Обидві технології все ще можуть легітимно існувати в корпоративних середовищах. Найсильніші виявлення корелюватимуть активність Outlook, репутацію місця призначення, взаємодію користувача, телеметрію NTLM та подальшу автентифікаційну поведінку.

Microsoft не опублікувала специфічні для кампаній з CVE-2026-124194 IOC, такі як шкідливі IP-адреси, домени, хеші вкладень, адреси відправників або імена файлів, пов’язані з зафіксованими атаками. Ідентичність нападників та їхні цілі залишаються нерозкритими.

Це означає, що організаціям в даний момент потрібно пріоритизувати поведінкове полювання, а не статичне відповідність IOC.

Зменшення наслідків CVE-2026-124194

Основним засобом усунення є негайна установка листопадових оновлень безпеки Office 2026 від Microsoft.

Установки Office LTSC 2021 слід оновити до складання 16.0.14334.21048 або пізнішої версії, тоді як установки Office LTSC 2024 повинні запускати 16.0.17932.21140 або пізніші. Користувачі Microsoft 365 Apps для підприємств повинні переконатися, що їх канал обслуговування отримав відповідний поточний випуск безпеки.

Оскільки експлуатація вже відбувається, організації повинні перевірити успішне розгортання, а не припускати, що автоматичні оновлення Office досягли кожного пристрою.

Адміністратори повинні виконати наступні дії:

1. Провести інвентаризацію установок Microsoft Outlook по керованим кінцевим точкам.
2. Визначити системи Microsoft 365 Apps, Office LTSC 2021 та Office LTSC 2024, які не отримали листопадове оновлення безпеки.
3. Негайно розгорнути виправлені збірки та перевірити установку.
4. Перевірити кінцеві точки, які залишалися вразливими, поки експлуатація була активною.
5. Заблокувати непотрібний вихідний трафік SMB в Інтернет.
6. Провести аудит вихідної автентифікації NTLM та зменшити використання NTLM, де це можливо.
7. Дослідити незвичайну активність Outlook в мережу та несподівані спроби автентифікації.
8. Навчити користувачів, щоб не відкривати несподівані файли-повідомлення Outlook або вкладення з ненадійних джерел.

Блокування вихідного SMB на TCP порті 445 забезпечує важливий додатковий рівень захисту. Microsoft прямо рекомендує запобігати виходу трафіку SMB з корпоративної мережі, якщо немає спеціальної операційної вимоги для хостингованих в Інтернеті сервісів SMB.

Організації також повинні розглянути питання обмеження NTLM. Windows надає Мережева безпека: Обмеження NTLM: вихідний трафік NTLM до віддалених серверів політику, яку можна спочатку налаштувати у режимі аудиту, щоб виявити залежності, перш ніж адміністратори почнуть блокувати автентифікацію.

Раптове відключення NTLM у всьому підприємстві може порушити роботу старих програм і робочих процесів. Організації повинні, отже, спочатку провести аудит використання, визначити законні залежності, імплементувати необхідні винятки та поступово переходити до сильніших механізмів автентифікації, таких як Kerberos.

Якщо виявлено підозрілу експлуатацію, просто встановлення оновлення недостатньо для закриття інциденту.

Команди безпеки повинні визначити уражену ідентичність і перевірити активність автентифікації, що відбувається після підозрюваного відкриття файлу повідомлення. Шукайте незвичні з’єднання SMB, віддалені входи в систему, бокове переміщення, доступ до файлів, автентифікацію VPN, входи в хмару та інші сервіси, які приймають уражені облікові дані.

Коли докази свідчать про те, що автентифікаційна інформація була викрита або успішно використана, змініть відповідний пароль і відкличте активні сесії згідно з відповідними процедурами реагування на ідентичність організації. Додаткові привілейовані облікові дані, доступні ураженому обліковому запису, також повинні бути перевірені.

Логи кінцевих точок, проксі, брандмауера, електронної пошти, EDR та ідентифікації повинні бути збережені перед усуненням, коли підозрівається компрометація. Кореляція цих джерел може допомогти відновити послідовність від доставки фішингу через розкриття NTLM і можливу подальшу автентифікацію.

CISA додала вразливість до KEV 10 листопада і вимагає від відповідних федеральних установ ліквідувати її до 24 листопада 2026 року. CISA перераховує відому кампанію з використанням програм-вимогів як невідому.