Outlook Zero-Day Explorada Entre 1.094 Falhas Corrigidas pela Microsoft

De acordo com SecurityWeek, o zero-day, rastreado como CVE-2026-124194, foi classificado como uma falha de spoofing e decorre do Outlook não alertar os usuários antes de uma ação potencialmente perigosa ocorrer.[1] A publicação diz que a Microsoft lhe deu uma classificação de severidade 'moderada' e uma pontuação CVSS de 6,5.[1]A Microsoft adverte que "um atacante não autenticado poderia enviar um arquivo de mensagem especialmente criado e convencer um usuário a abri-lo,"[2] relata BleepingComputer. BleepingComputer acrescenta que a falha foi ativamente explorada em ataques para roubar hashes de contas NTLM.[2]The Register relata que a Microsoft não disse quando os ataques começaram, quem está explorando esse bug e o que estão fazendo com o acesso[3].Splashtop diz que a correção não faz parte da atualização cumulativa do Windows (KB5132061), de modo que as organizações que implantam apenas atualizações do Windows permanecerão expostas até que a atualização do Office seja instalada.[4] De acordo com Splashtop, a CISA adicionou CVE-2026-124194 ao seu catálogo de Vulnerabilidades Conhecidas Exploradas em 10 de novembro de 2026, com data de remediação até 24 de novembro[4].The Register relata duas ameaças zero-click neste lote mensal de correções: CVE-2026-116928 e CVE-2026-119958.[3] BleepingComputer coloca a contagem em um recorde de 1.235 falhas[2], enquanto SecurityWeek diz que o lançamento de novembro é menor que o de outubro, quando a Microsoft corrigiu um recorde de 1.413 vulnerabilidades.[1]SecurityWeek também relata que as atualizações deste mês também são as últimas para as edições Enterprise e Education do Windows 11 versão 23H2.[1]