Microsoft Confirma Exploração Ativa de Nova Vulnerabilidade Zero-Day do Outlook

BleepingComputer relata que o Patch Tuesday de novembro de 2026 da Microsoft corrigiu um número recorde de 1.235 falhas, incluindo uma vulnerabilidade zero-day do Microsoft Outlook ativamente explorada.[2] TechRepublic observa que a análise da Tenable contabilizou 1.093 CVEs da Microsoft.[3]De acordo com BleepingComputer, a falha é rastreada como CVE-2026-124194 e foi ativamente explorada em ataques para roubar hashes de contas NTLM.[2] A Microsoft avisou que abrir um arquivo elaborado "poderia fazer o Outlook se conectar a um local de rede controlado por um invasor sem exibir o aviso usual de conteúdo externo."[2]Forbes relata que a falha afeta Microsoft 365 Apps for Enterprise e Office LTSC 2021 e 2024[1]. Jack Bicer da Action1 disse à Forbes que "essa falha transforma um arquivo aberto em identidade roubada."[1]TechRepublic, citando SecurityWeek, relata que a Microsoft atribuiu à falha uma classificação de severidade Moderada e uma pontuação CVSS de 6,5.[3] TechRepublic acrescenta que simplesmente receber um email malicioso não dispara a vulnerabilidade.[3]SOC Prime relata que a CISA adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Conhecidas Exploradas em 10 de novembro[4] e definiu 24 de novembro como a data limite de patch para as agências federais dos EUA aplicáveis.SecurityOnline relata que a Microsoft não revelou quem está por trás dos ataques ou quantos alvos foram atingidos.[5]Forbes relata que Tyler Reguly da Fortra disse "todos devem trabalhar para atualizar o Outlook o mais rápido possível."[1]