CVE-2026-124194: Vulnerabilidade de Falta de Interação do Usuário do Microsoft Office Outlook para Ação Potencialmente Insegura

O aviso de segurança da Microsoft diz que a falha, CVE-2026-124194, permite que um atacante não autenticado envie um arquivo de mensagem especialmente elaborado e convença um usuário a abri-lo em uma versão afetada do Microsoft Outlook.[2]A Microsoft diz que abrir o arquivo pode fazer o Outlook se conectar a um local de rede controlado pelo atacante sem exibir o aviso usual de conteúdo externo[2], o que pode expor dados de login que permitem ao atacante se passar pelo usuário. A Microsoft também diz que o Painel de Visualização não é um vetor de ataque.[2]A SOC Prime relata que a falha pode expor dados de autenticação NTLMv2 e permitir roubo de credenciais e personificação de conta[3]. Também relata que a Microsoft a classifica como Moderada com uma pontuação CVSS 3.1 de 6,5.[3]De acordo com a SOC Prime, o bug afeta o Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 e Microsoft Office LTSC 2024.[3]A Shattered.io relata que o lançamento corrigiu 1.094 CVEs em 10 de novembro[4], e que este foi o único zero-day explorado no lançamento.[4] A Shattered.io também observa que a Microsoft não informou quem está atacando o Outlook, quando os ataques começaram ou o quão generalizados eles são[4].Jack Bicer da Action1, citado na DEV Community, disse: "Email é a porta mais fácil para qualquer empresa, e esta falha transforma um arquivo aberto em uma identidade roubada."[5]De acordo com o WindowsForum, a Splashtop relata que a correção é fornecida nas atualizações de segurança do Microsoft 365 Apps e Office LTSC 2021 e 2024 e não na atualização cumulativa do Windows[4].