CVE-2026-124194: Vulnerabilidade Microsoft Office Outlook Falta de Interação do Usuário para Ação Potencialmente Insegura

O comunicado da Microsoft diz que um atacante não autenticado pode enviar um arquivo de mensagem especialmente elaborado e convencer um usuário a abri-lo em uma versão afetada do Microsoft Outlook.[2] De acordo com a Microsoft, abrir o arquivo pode fazer com que o Outlook se conecte a um local de rede controlado pelo atacante sem exibir o aviso usual de conteúdo externo, potencialmente divulgando informações de autenticação[2] que podem ser usadas para se passar pelo usuário. A Tenable relata que um ataque bem-sucedido permitiria que um atacante obtivesse o hash NTLMv2 válido do alvo, que pode então ser usado para se passar por esse usuário em ataques subsequentes.[1] Respondendo se o Painel de Visualização é um vetor de ataque, a Microsoft diz "Não, o Painel de Visualização não é um vetor de ataque."[2]A SecurityOnline relata que a CISA o adicionou ao seu catálogo de Vulnerabilidades Exploradas Conhecidas e deu aos órgãos federais até 24 de novembro para aplicar o patch.[3] A publicação diz que o vetor CVSS da Microsoft marca a maturidade do código de exploração como "Alta", significando que existe código de ataque funcional.[3]De acordo com a SecurityOnline, a Microsoft lançou correções para Microsoft 365 Apps e Office LTSC 2021 e 2024.[3] A publicação adiciona que a Microsoft não disse quem está por trás dos ataques ou quantos alvos foram atingidos.[3]A Tenable relata que o comunicado credita essa descoberta a um pesquisador de segurança que usou Claude, o modelo de linguagem grande (LLM) da Anthropic[1].