Outlook: falha explorada vaza os hashes NTLMv2 dos usuários, e a Microsoft a corrige

Monitoramento cibernético da Top-Secured: análise independente baseada nas fontes citadas abaixo. A Top-Secured não é afiliada às empresas mencionadas e nunca pedirá seus dados bancários nem suas senhas.

As atualizações de novembro de 2026 da Microsoft corrigem a CVE-2026-124194, uma falha do Outlook que a fabricante diz já estar sendo explorada. Um arquivo manipulado aberto no Outlook faz o programa se conectar ao servidor de um atacante sem o aviso habitual, entregando o hash NTLMv2 do usuário; a CISA incluiu a falha em seu catálogo de vulnerabilidades exploradas.

O que aconteceu

A Microsoft publicou em 10 de novembro de 2026 suas atualizações de segurança mensais. Segundo o The Record, elas tratam 1.093 vulnerabilidades, acima de mil pelo segundo mês seguido. Entre elas, a CVE-2026-124194, no Outlook, é indicada pela Microsoft como já explorada. No mesmo dia, a agência americana CISA a adicionou ao seu catálogo de vulnerabilidades exploradas e deu às agências federais até 24 de novembro para corrigi-la. Nem a Microsoft nem a CISA informaram quem está por trás dos ataques ou quem foi alvo.

Como os atacantes a usam

A Microsoft descreve o cenário: o atacante envia um arquivo manipulado e convence o usuário a abri-lo no Outlook. O programa então se conecta a um local de rede controlado pelo atacante sem exibir o aviso habitual sobre conteúdo externo. Com isso, revela o hash NTLMv2 do usuário, que o atacante pode reutilizar para se autenticar no lugar dele. O atacante não precisa de conta, mas a vítima precisa abrir o arquivo: o painel de visualização não é um vetor de ataque. A Microsoft atribui nota 6,5 de 10 e gravidade moderada, mas um hash roubado pode abrir caminho para outros serviços da empresa.

Produtos afetados segundo a Microsoft: Microsoft 365 Apps for Enterprise (32 e 64 bits), Office LTSC 2024 e Office LTSC 2021.

O que fazer agora

1. Atualize o Office: build 16.0.17932.21140 ou posterior no Office LTSC 2024, 16.0.14334.21048 ou posterior no Office LTSC 2021; no Microsoft 365 Apps, a build de segurança de novembro do seu canal. Confira no Outlook em Arquivo > Conta do Office > Sobre o Outlook.
2. Verifique se as atualizações realmente chegam às estações: instalações Click-to-Run às vezes ficam numa build antiga quando uma política adia as atualizações.
3. Bloqueie o SMB de saída (TCP 445) para a Internet no firewall: é o caminho mais comum para enviar hashes NTLM para fora.
4. Coloque as contas de administração e as contas sensíveis no grupo Protected Users, que impede a autenticação NTLM para elas, e planeje reduzir o uso de NTLM no domínio.
5. Lembre a equipe de não abrir anexos inesperados, mesmo de remetentes conhecidos.

Nossa opinião

Uma falha classificada como moderada, mas já explorada, merece mais atenção do que uma crítica que ninguém usa. Atualizar as estações de trabalho faz parte da segurança dos servidores: um hash NTLM vazado costuma ser o primeiro passo rumo ao servidor de arquivos ou ao controlador de domínio.

Fontes

• Microsoft MSRC — Microsoft Outlook Spoofing Vulnerability (CVE-2026-124194)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-124194 (Microsoft Office Outlook)
• The Record — Microsoft’s Patch Tuesday surpasses 1,000 bugs for second month in a row

Como escolhemos, verificamos e escrevemos nossas análises →