माइक्रोसॉफ्ट आउटलुक में एक भेद्यता संभावित रूप से विंडोज उपयोगकर्ताओं की प्रमाणीकरण जानकारी उजागर कर सकती है। यह भेद्यता, जिसे CVE-2026-124194 पहचानकर्ता दिया गया है, का उपयोग माइक्रोसॉफ्ट द्वारा मंगलवार (10 तारीख) को पैच जारी करने से पहले ही हमलावरों द्वारा किया जा चुका था।
यह समस्या हमलावरों को NTLMv2 प्रमाणीकरण हैश प्राप्त करने की अनुमति देती है, जिसका उपयोग फिर वैध उपयोगकर्ता होने का नाटक करते हुए सिस्टम और खातों तक पहुंचने के प्रयासों के लिए किया जा सकता है। इस खामी का फायदा उठाने के लिए अपराधी को पीड़ित को विशेष रूप से तैयार की गई संदेश फ़ाइल खोलने के लिए मनाना होगा।
माइक्रोसॉफ्ट ने इस भेद्यता को मध्यम वर्गीकृत किया है, लेकिन सक्रिय उपयोग के मामलों की पुष्टि की है। इसके अलावा, यूएस साइबरसिक्योरिटी एंड इन्फ्रास्ट्रक्चर एजेंसी (CISA) ने इस भेद्यता को ज्ञात शोषण योग्य कमजोरियों की सूची में शामिल किया है।
यह सुधार मंगलवार (10 तारीख) को माइक्रोसॉफ्ट के मासिक सुरक्षा अपडेट पैकेज, जिसे पैच ट्यूसडे के नाम से जाना जाता है, के हिस्से के रूप में जारी किया गया था। कंपनी ने पुष्टि की कि पैच आने से पहले CVE-2026-124194 का शोषण किया गया था। इस भेद्यता को CVSS स्केल पर 6.5 रेटिंग के साथ स्पूफिंग (फल्सिफिकेशन) त्रुटि के रूप में पहचाना गया था, जो डिजिटल सुरक्षा समस्याओं की गंभीरता को मापता है।
आधिकारिक चेतावनी बताती है कि प्रभावित उत्पादों में माइक्रोसॉफ्ट 365 ऐप्स फॉर एंटरप्राइज, साथ ही ऑफिस LTSC 2021 और ऑफिस LTSC 2024 के संस्करण शामिल हैं। इस खोज का श्रेय शोधकर्ताओं नोनो और बेनोइट सेवेंस को दिया गया है। माइक्रोसॉफ्ट के अनुसार, सेवेंस ने भेद्यता विश्लेषण की प्रक्रिया में एंथ्रोपिक के आर्टिफिशियल इंटेलिजेंस (AI) मॉडल क्लॉड का उपयोग किया था।
CISA ने भी इस त्रुटि को अपनी ज्ञात शोषण योग्य कमजोरियों की सूची, जिसे KEV कहा जाता है, में जोड़ा है। एजेंसी ने अमेरिकी संघीय नागरिक एजेंसियों के लिए 24 नवंबर 2026 की समय सीमा निर्धारित की है ताकि वे सुधार लागू करें। यह आवश्यकता अमेरिकी संस्थानों पर लागू होती है, न कि ब्राज़ीलियाई कंपनियों पर।
आउटलुक भेद्यता नवंबर में माइक्रोसॉफ्ट द्वारा प्रदान किए गए बड़े अपडेट सेट का हिस्सा है। विश्लेषण के अनुसार, इस पैकेज में 1,259 सुधार और भेद्यता पहचानकर्ता शामिल हैं। इन कुल संख्या में से 1,094 माइक्रोसॉफ्ट के अपने उत्पादों की त्रुटियों से संबंधित हैं, जबकि 165 अन्य पहचानकर्ता तीसरे पक्ष की रिपोर्टों के आधार पर प्रकाशित किए गए थे।
प्रभावित उत्पादों में विंडोज और ऑफिस शामिल हैं। पैकेज में विंडोज से संबंधित 726 सुधार और ऑफिस से संबंधित 174 सुधार शामिल हैं, साथ ही विशेषाधिकार वृद्धि से संबंधित 500 से अधिक कमजोरियां भी हैं - एक ऐसी स्थिति जहां हमलावर किसी विशिष्ट सिस्टम में अपेक्षित से अधिक अनुमतियाँ प्राप्त करता है। अपडेट उन त्रुटियों को भी ठीक करता है जो विंडोज घटकों में रिमोट कोड निष्पादन की अनुमति दे सकती थीं, और Azure OpenAI में विशेषाधिकार वृद्धि भेद्यता को भी ठीक करता है।
यह लगातार दूसरा महीना है जब माइक्रोसॉफ्ट का मासिक सुरक्षा पैकेज एक हजार से अधिक कमजोरियों को पार करता है। आउटलुक के माध्यम से हैकिंग पर लेख पहली बार ओल्हार डिजिटल पोर्टल पर प्रकाशित हुआ था।
