CVE-2026-124194: Уразливість Microsoft Office Outlook, яка дозволяє потенційно небезпечні дії без взаємодії користувача

У своєму повідомленні Microsoft говорить, що неавтентифікований зловмисник міг би відправити спеціально створений файл повідомлення та переконати користувача відкрити його в уразливій версії Microsoft Outlook.[2] За даними Microsoft, відкриття файлу могло б спричинити підключення Outlook до контрольованого зловмисником мережевого місцезнаходження без виведення звичайного попередження про зовнішній вміст, що потенційно могло б розкрити інформацію аутентифікації[2] яка могла б бути використана для видавання себе за користувача. Tenable повідомляє, що успішна атака дозволила б зловмиснику отримати дійсний хеш NTLMv2 цілі, який потім можна було б використати для видавання себе за цього користувача в подальших атаках.[1] Відповідаючи на питання про те, чи є Preview Pane вектором атаки, Microsoft говорить "Ні, Preview Pane не є вектором атаки."[2]SecurityOnline повідомляє, що CISA додала її до свого каталогу «Відомих експлуатованих уразливостей» та дала федеральним агенціям час до 24 листопада на виправлення.[3] Видання говорить вектор CVSS Microsoft позначає зрілість кодексу експлуатації як "High" (Висока), що означає існування робочого коду атаки.[3]За даними SecurityOnline, Microsoft випустила виправлення для Microsoft 365 Apps та Office LTSC 2021 та 2024.[3] Видання додає, що Microsoft не сказала, хто стоїть за атаками та скільки цілей було враховано.[3]Tenable повідомляє, що у рекомендаціях це відкриття приписується дослідникові безпеки, який використовував Claude, велику мовну модель (LLM) від Anthropic[1].