Uma vulnerabilidade no Microsoft Outlook pode potencialmente expor informações de autenticação de usuários do Windows. Esta vulnerabilidade, identificada como CVE-2026-124194, já foi explorada por invasores antes da correção lançada pela Microsoft na terça-feira (dia 10).
Este problema permite que invasores obtenham o hash de autenticação NTLMv2, que pode ser usado em tentativas de acesso a sistemas e contas, fingindo ser um usuário legítimo. Para explorar esta falha, o criminoso precisa convencer a vítima a abrir um arquivo de mensagem preparado especificamente.
A Microsoft classificou esta vulnerabilidade como moderada, mas confirmou casos ativos de sua exploração. Além disso, a Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu esta vulnerabilidade no catálogo de vulnerabilidades conhecidas e exploráveis.
O patch foi lançado na terça-feira (dia 10) como parte do pacote mensal de atualizações de segurança da Microsoft, conhecido como Patch Tuesday. A empresa confirmou que a CVE-2026-124194 estava sendo explorada antes do lançamento do patch. A vulnerabilidade foi classificada como um erro de falsificação com uma pontuação de 6,5 na escala CVSS, que mede a gravidade de problemas de segurança digital.
O aviso oficial indica que os produtos afetados são Microsoft 365 Apps for Enterprise, bem como as versões Office LTSC 2021 e Office LTSC 2024. A descoberta foi atribuída aos pesquisadores Nono e Benoît Sevens. De acordo com a Microsoft, Sevens utilizou o Claude, um modelo de inteligência artificial (IA) da Anthropic, durante a análise da vulnerabilidade.
A CISA também inseriu este erro em seu catálogo de vulnerabilidades conhecidas e exploráveis, conhecido como KEV. A agência estabeleceu um prazo de 24 de novembro de 2026 para que os órgãos civis federais dos EUA apliquem a correção. Este requisito é direcionado a instituições americanas, e não a empresas brasileiras.
A vulnerabilidade do Outlook faz parte de um conjunto maior de atualizações fornecidas pela Microsoft em novembro. De acordo com a análise, o pacote inclui 1.259 correções e identificadores de vulnerabilidades. Deste total, 1.094 pertencem a erros de produtos próprios da Microsoft, enquanto 165 outros identificadores foram publicados com base em relatórios de terceiros.
Entre os produtos abrangidos estão Windows e Office. O pacote contém 726 correções relacionadas ao Windows e 174 ao Office, além de mais de 500 vulnerabilidades relacionadas a elevação de privilégios — uma situação em que o invasor obtém permissões mais altas do que o devido em um determinado sistema. A atualização também corrige falhas que poderiam permitir a execução remota de código em componentes do Windows e uma vulnerabilidade de elevação de privilégios no Azure OpenAI.
Este é o segundo mês consecutivo em que o pacote de segurança mensal da Microsoft ultrapassa a marca de mil vulnerabilidades. O artigo sobre o hack via Outlook apareceu pela primeira vez no portal Olhar Digital.
