CVE-2026-124194: Уязвимость Microsoft Office Outlook с отсутствием взаимодействия пользователя для потенциально небезопасного действия

Согласно рекомендации по безопасности Microsoft, данная уязвимость CVE-2026-124194 позволяет неаутентифицированному злоумышленнику отправить специально подготовленный файл сообщения и убедить пользователя открыть его в уязвимой версии Microsoft Outlook.[2]Microsoft заявляет, что открытие файла может заставить Outlook подключиться к контролируемому злоумышленником сетевому расположению без отображения обычного предупреждения о внешнем содержимом[2], что может привести к утечке данных входа, позволяющих злоумышленнику выдать себя за пользователя. Microsoft также заявляет, что панель предпросмотра не является вектором атаки.[2]SOC Prime сообщает, что данная уязвимость может привести к утечке данных аутентификации NTLMv2 и позволить кража учётных данных и присвоение учётной записи[3]. Также сообщается, что Microsoft оценивает её как Moderate (Умеренная) с оценкой CVSS 3.1 в 6,5.[3]По данным SOC Prime, уязвимость влияет на Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 и Microsoft Office LTSC 2024.[3]Shattered.io сообщает, что релиз исправил 1094 CVE 10 ноября[4], и это была единственная эксплуатируемая уязвимость нулевого дня в релизе.[4] Shattered.io также отмечает, что Microsoft не сообщила, кто атакует Outlook, когда начались атаки и насколько они распространены[4]. Джек Байсер из Action1, цитируемый на DEV Community, сказал: "Электронная почта — это самая лёгкая дверь в любую компанию, и эта уязвимость превращает открытие одного файла в кражу личности."[5]По данным WindowsForum, Splashtop сообщает, что исправление поставляется в обновлениях безопасности Microsoft 365 Apps и Office LTSC 2021 и 2024, а не в накопительное обновление Windows[4].