CVE-2026-124194：Microsoft Outlook 零日漏洞被利用以窃取 NTLM 哈希值

微软已修补CVE-2026-124194，这是微软Outlook中一个被积极利用的零日漏洞，当打开特制的邮件文件时，它可以暴露用户的NTLMv2身份验证信息。微软将该问题分类为欺骗漏洞，并将其评为中等，具有6.5的CVSS 3.1评分。

该漏洞允许未验证的远程攻击者发送恶意邮件文件并说服受害者在受影响的Outlook版本中打开它。之后，Outlook可能会连接到攻击者控制的网络位置，而不会显示用户通常期望的外部内容警告。在此连接过程中，Windows可能会暴露出可能被滥用以冒充受害者的NTLMv2身份验证信息。

联系销售

微软确认CVE-2026-124194已在攻击中被利用。然而，该公司没有披露涉及的威胁参与者、活动规模、受害组织、交付基础设施，或被窃取的认证材料是否被用于随后的横向移动或账户妥协。

该漏洞作为微软2026年11月补丁星期二发布的一部分，于11月10日得到了解决。受影响的产品包括企业版Microsoft 365应用程序、Microsoft Office LTSC 2021和Microsoft Office LTSC 2024在32位和x64系统上。

CISA在11月10日将该漏洞添加到其已知被利用的漏洞目录中，确认存在积极利用的证据，并将2026年11月24日作为适用于美国联邦机构的缓解截止日期。

安全团队可以使用SOC Prime的AI原生检测情报平台来操作威胁情报，识别可疑的Outlook和NTLM活动，加速SIEM、EDR、XDR和数据湖环境中的检测工程和威胁狩猎。

通过将Outlook活动与意外的出站SMB连接、到外部系统的NTLM身份验证尝试、可疑的邮件文件执行以及随后的凭证或身份滥用进行关联来检测CVE-2026-124194。

可能并非每个CVE都有检测内容。请查看SOC Prime平台以获取当前的覆盖范围。如果相关的检测尚不可用，请继续检查，因为新的威胁情报和检测内容正在不断添加。

CVE-2026-124194分析

CVE-2026-124194影响企业版Microsoft 365应用程序、Microsoft Office LTSC 2021和Microsoft Office LTSC 2024。微软为此漏洞分配了6.5的CVSS 3.1评分，向量为AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N，反映了远程访问性、低攻击复杂性、不需要攻击者权限、需要用户交互及高机密性影响。

该漏洞被分类在CWE-356下，产品UI未警告用户不安全行为。实际上，Outlook 未显示应在应用程序访问可能危险的外部内容之前通常会警告用户的警报。

利用始于向目标发送一个特制的Outlook邮件文件。攻击者不需要在受害者系统或Microsoft 365租户上有帐户，但受害者必须打开恶意文件。微软特别指出，预览窗格不是攻击向量，这意味着仅在Outlook的预览界面中显示信息不足以触发攻击。

文件一旦被打开，Outlook可以在不显示通常的外部内容警告的情况下，与攻击者控制的网络位置建立连接。

这很重要，因为Windows环境在访问远程资源时可以自动尝试NTLM身份验证。由此产生的质询-响应交换可能会向远程服务器暴露用户的NTLMv2身份验证哈希。

NTLMv2哈希并不是用户的明文密码。然而，拥有认证材料可以根据环境和攻击者的能力创造一些随后的风险。《BleepingComputer》指出，被捕获的哈希可能会被用于离线破解密码，而微软的建议则警告被泄露的认证信息可能会被用于冒充受害者进行身份认证。

这使得该漏洞特别与那些在文件共享、旧应用程序、远程资源或内部身份认证工作流程中仍严重依赖NTLM的企业环境相关。

6.5的CVSS评分对于处于积极利用中的零日漏洞来说最初可能显得相对温和。评分反映了利用需要用户交互，主要影响机密性，而非直接实现代码执行、完整性丧失或服务中断。

然而，操作风险显然已经升高，因为微软已观察到利用，而CISA也独立将该漏洞添加到KEV中。因此安全团队在确定补救紧急程度时应优先考虑利用状态而非仅凭CVSS评分。

CVE记录确定的受影响及修复版本包括：

产品	受影响版本	修复版本
企业版Microsoft 365应用程序	适用的11月安全更新前的易受攻击版本	当前Office安全版本
Microsoft Office LTSC 2021	早于16.0.14334.21048	16.0.14334.21048
Microsoft Office LTSC 2024	早于16.0.17932.21140	16.0.17932.21140

32位和x64安装版本均受影响。使用Microsoft 365应用程序的组织应依赖Microsoft的Office安全版本信息，因为不同服务渠道的内部版本号不同。

微软于2026年11月10日发布了CVE-2026-124194，并通过补丁星期二发布了相应的安全更新。该漏洞在修复可用之前没有公开披露。

微软将发现或报告问题的功劳归于使用别名″nono″的研究员和安全研究员Benoît Sevens。《SecurityWeek》指出，微软对此Sevens的致谢提及了在研究中使用的Anthropic的Claude AI模型。可用来源并未提供漏洞隐秘被发现或最初报告给微软的具体日期。

CVE-2026-124194的PoC格局没有确认的利用状态重要。微软和所提供的报告未提供公共利用代码或详细的重现指令。一些第三方利用聚合器发布了关于新发表的概念验证材料的相互矛盾信号，所以防御者在评估风险时不应依赖公共PoC可用性。通过微软和CISA独立确认的积极利用已经确立。

对于CVE-2026-124194的检测，防御者应一起监控终端及网络活动。其中一个特别有价值的信号是OUTLOOK.EXE在用户打开Outlook邮件文件后不久开始的SMB流量。

出站TCP端口445流量尤其值得注意。微软建议阻止流向互联网的出站SMB流量作为一种全面防御控制，因为这可以防止内部设备直接将SMB数据发送到外部主机。

安全团队还可以查看应用程序和服务日志/Microsoft/Windows/NTLM下的微软NTLM操作日志，并审核外发的NTLM身份验证。微软提供了一项专门设计用于审核或拒绝向远程服务器发送NTLM流量的策略。

有用的行为狩猎切入点包括：

• Outlook启动意外的外部SMB连接。
• 朝互联网目标发起的NTLM身份验证尝试。
• 在可疑的Outlook活动后不久对内部服务的成功身份验证。
• 与异常外部网络连接相关的邮件文件活动。
• 涉及同一已妥协身份的重复身份验证尝试。
• 来自与用户正常活动不一致的系统或IP地址的新登录。

防御者应避免将每个出站SMB或NTLM连接视为利用证明。这两种技术在企业环境中仍可能合法存在。最强的检测将关联Outlook活动、目的地声誉、用户互动、NTLM遥测及后续身份验证行为。

微软尚未发布特定于活动的CVE-2026-124194 IOC，例如与观察到的攻击相关的恶意IP地址、域名、附件哈希、发件人地址或文件名。攻击者的身份及其目标尚未披露。

这意味着目前组织需要优先考虑基于行为的狩猎而非依赖静态IOC匹配。

CVE-2026-124194缓解措施

主要的补救措施是立即安装微软的2026年11月Office安全更新。

Office LTSC 2021安装应更新至版本16.0.14334.21048或更高，而Office LTSC 2024安装应运行16.0.17932.21140或更高。企业版Microsoft 365应用用户应验证其服务渠道已收到相应的当前安全版本。

由于利用已经发生，组织应该验证的成功部署，而不是假设自动Office更新已覆盖每个设备。

管理员应该采取以下行动：

1. 在管理的终端上清点Microsoft Outlook安装。
2. 识别未接收11月安全更新的Microsoft 365应用、Office LTSC 2021和Office LTSC 2024系统。
3. 立即部署更正构建并验证安装。
4. 审查在利用活跃时仍然脆弱的终端。
5. 阻止不必要的出站SMB流量到互联网。
6. 审核外发NTLM身份验证并尽可能减少NTLM的使用。
7. 调查不寻常的Outlook到网络活动及意外的身份验证尝试。
8. 教育用户不要打开来自不受信任来源的未请求的Outlook邮件文件或附件。

在TCP端口445上阻止出站的SMB提供了一个重要的额外保护层。微软明确建议防止SMB流量离开企业网络，除非有特定的操作需求用于互联网托管的SMB服务。

组织还应考虑限制NTLM。Windows提供了 网络安全：限制NTLM：向远程服务器发送的外发NTLM流量 策略，该策略可以首先在审核模式下配置，以识别依赖项，然后管理员开始阻止身份验证。

在整个企业迅速禁用NTLM可能会破坏旧应用程序和工作流。因此，组织应审计使用，识别合法依赖项，实现必要的例外，并逐步将身份验证转移到Kerberos或其他更强的机制。

如果识别出可疑的利用，仅安装更新不足以关闭事件。

安全团队应该识别受影响的身份，并审查可疑邮件文件被打开后发生的身份验证活动。查找异常的SMB连接、远程登录、横向移动、对文件共享的访问、VPN身份验证、云登录及其他接受受影响凭证的服务。

如果证据表明身份认证信息被暴露或成功被滥用，根据组织的身份响应程序重置相关密码并撤销活动会话。受影响账户可以访问的其他特权凭证也应进行调查。

当怀疑发生破坏时，应在修复前保存终端、代理、防火墙、电子邮件、EDR和身份日志。关联这些来源可以帮助重建从网络钓鱼交付到NTLM泄露及可能的后续身份验证的序列。

CISA在11月10日将该漏洞添加到KEV，并要求适用的联邦机构在2026年11月24日之前修复该漏洞。CISA列出已知勒索软件活动的用途为未知。