CISA confirma exploração de vulnerabilidade zero-day no Microsoft Outlook
Falha CVE-2026-124194 pode expor informações de autenticação dos usuários; Microsoft disponibilizou atualizações de segurança para corrigir o problema A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) confirmou, na terça-feira (10), a exploração ativa de uma vulnerabilidade zero-day no Microsoft Outlook. Identificada como CVE-2026-124194, a falha permite que invasores obtenham informações de autenticação dos usuários por meio de arquivos de mensagem especialmente elaborados. A Microsoft classificou o problema como uma vulnerabilidade de falsificação em rede (network spoofing), com pontuação 6,5 na escala CVSS 3.1 (Common Vulnerability Scoring System, ou Sistema Comum de Pontuação de Vulnerabilidades). A falha foi incluída no catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV, na sigla em inglês) da CISA, que reúne vulnerabilidades com evidências de exploração em ataques reais. O registro da CVE-2026-124194 ocorreu em 10 de novembro, mesma data de publicação do comunicado de segurança da Microsoft. Como funciona a exploração da vulnerabilidade? De acordo com o comunicado de segurança publicado pela Microsoft, um invasor sem autenticação prévia pode enviar um arquivo de mensagem especialmente elaborado e convencer o usuário a abri-lo em uma versão afetada do Outlook. Ao abrir o arquivo, o aplicativo pode estabelecer uma conexão com um endereço de rede controlado pelo invasor sem apresentar o aviso habitual sobre conteúdo externo. Durante esse processo, informações de autenticação do usuário podem ser transmitidas ao servidor malicioso. A falha está relacionada à ausência de um alerta adequado da interface do aplicativo antes da realização de uma ação potencialmente insegura. Por isso, a Microsoft classifica a vulnerabilidade como uma falha de falsificação (spoofing). A empresa também esclarece que a exploração exige interação do usuário: é necessário abrir o arquivo especialmente criado. A simples visualização da mensagem pelo painel de leitura (Preview Pane) do Outlook não constitui um vetor de exploração para essa vulnerabilidade. Quais informações podem ser expostas? Entre os dados que podem ser obtidos durante a exploração está o hash NTLMv2, uma informação utilizada pelo Windows em processos de autenticação. Esse dado está relacionado à verificação das credenciais do usuário e pode ser utilizado em tentativas de autenticação em seu nome. Embora não corresponda à senha em texto simples, o hash NTLMv2 pode permitir que o invasor tente se autenticar como a vítima, conforme explica a Microsoft em seu boletim de segurança. Dessa forma, a exposição dessas informações pode abrir caminho para acessos não autorizados a serviços e recursos associados à conta comprometida. Microsoft disponibiliza correções de segurança A Microsoft publicou atualizações de segurança para corrigir a CVE-2026-124194 em 10 de novembro, como parte de seu ciclo mensal de atualizações, conhecido como Patch Tuesday. A vulnerabilidade afeta o Microsoft 365 Apps for Enterprise, o Microsoft Office LTSC 2021 e o Microsoft Office LTSC 2024, tanto nas versões de 32 bits quanto nas de 64 bits. Para o Office LTSC 2021, a correção está disponível na versão 16.0.14334.21048. Já para o Office LTSC 2024, a atualização corrigida corresponde à versão 16.0.17932.21140. No Microsoft 365 Apps for Enterprise, as versões corrigidas variam conforme o canal de atualização utilizado. A empresa orienta que usuários e administradores instalem as atualizações correspondentes aos produtos e canais utilizados. A inclusão da vulnerabilidade no catálogo KEV da CISA também estabeleceu o prazo de 24 de novembro de 2026 para que as agências federais norte-americanas adotem as medidas de correção.
