Уязвимость в Microsoft Outlook потенциально может раскрыть аутентификационную информацию пользователей Windows. Эта уязвимость, получившая идентификатор CVE-2026-124194, уже использовалась злоумышленниками к моменту выпуска исправлений компанией Microsoft во вторник (10-го числа).
Данная проблема дает возможность нарушителям получить хеш аутентификации NTLMv2, который затем можно применять для попыток доступа к системам и учетным записям, выдавая себя за законного пользователя. Для эксплуатации этой бреши преступнику необходимо убедить жертву открыть специально подготовленный файл сообщения.
Microsoft классифицировала эту уязвимость как умеренную, однако подтвердила наличие активных случаев ее использования. Кроме того, Агентство по кибербезопасности и инфраструктуре США (CISA) включило эту уязвимость в каталог известных эксплуатируемых уязвимостей.
Исправление было выпущено во вторник (10-го числа) в рамках ежемесячного пакета обновлений безопасности Microsoft, известного как Patch Tuesday. Компания подтвердила, что CVE-2026-124194 эксплуатировалась до появления патча. Уязвимость была определена как ошибка спуфинга (falsificação) с оценкой 6,5 по шкале CVSS, которая измеряет серьезность цифровых проблем безопасности.
Официальное предупреждение указывает, что затронутыми продуктами являются Microsoft 365 Apps for Enterprise, а также версии Office LTSC 2021 и Office LTSC 2024. Открытие было приписано исследователям по именам Nono и Benoît Sevens. По данным Microsoft, Sevens использовал Claude, модель искусственного интеллекта (ИИ) от Anthropic, в процессе анализа уязвимости.
CISA также внесла эту ошибку в свой каталог известных эксплуатируемых уязвимостей, известный как KEV. Агентство установило крайний срок 24 ноября 2026 года для федеральных гражданских органов США по применению исправления. Это требование адресовано американским учреждениям, а не бразильским компаниям.
Уязвимость Outlook является частью более крупного набора обновлений, предоставленных Microsoft в ноябре. Согласно анализу, пакет включает 1.259 исправлений и идентификаторов уязвимостей. Из этого общего числа 1.094 относятся к ошибкам собственных продуктов Microsoft, в то время как 165 других идентификаторов были опубликованы на основе сообщений третьих сторон.
Среди охваченных продуктов находятся Windows и Office. Пакет содержит 726 исправлений, связанных с Windows, и 174 — с Office, помимо более чем 500 уязвимостей, связанных с повышением привилегий — ситуацией, когда злоумышленник получает более высокие разрешения, чем положено в определенной системе. Обновление также устраняет ошибки, которые могли позволить удаленное выполнение кода в компонентах Windows, и уязвимость повышения привилегий в Azure OpenAI.
Это второй месяц подряд, когда ежемесячный пакет безопасности Microsoft превышает отметку в тысячу уязвимостей. Статья о взломе через Outlook появилась впервые на портале Olhar Digital.
