CVE-2026-124194: Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability

За даними рекомендації щодо безпеки Microsoft, вразливість CVE-2026-124194 дозволяє неавтентифікованому зловмиснику надіслати спеціально підготовлений файл повідомлення та переконати користувача відкрити його у вразливій версії Microsoft Outlook.[2]Microsoft повідомляє, що відкриття файлу може спричинити, що Outlook підключиться до контрольованого зловмисником місцезнаходження в мережі без відображення звичайного попередження про зовнішній вміст[2] , що може розкрити дані для входу, які дозволяють зловмиснику видавати себе за користувача. Microsoft також повідомляє що Preview Pane не є вектором атаки.[2]SOC Prime повідомляє, що вразливість може розкрити дані аутентифікації NTLMv2 і дозволити крадіжку облікових даних та видавання себе за користувача[3] . Також повідомляється, що Microsoft оцінює її як помірну з оцінкою CVSS 3.1 6.5.[3]За даними SOC Prime, помилка впливає на Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 та Microsoft Office LTSC 2024.[3]Shattered.io повідомляє, що реліз виправив 1094 CVE 10 листопада[4] , і це була єдина використовувана zero-day у релізі.[4] Shattered.io також відзначає, що Microsoft не повідомив про те, хто атакує Outlook, коли почалися атаки та наскільки вони поширені[4] . Джек Бісер з Action1, цитований на DEV Community, сказав: "Електронна пошта — це найлегший вхід у будь-яку компанію, а ця вразливість перетворює один відкритий файл у вкрадену ідентичність."[5]За даними WindowsForum, Splashtop повідомляє, що виправлення входить до оновлень безпеки Microsoft 365 Apps та Office LTSC 2021 і 2024 і не входить до накопичувального оновлення Windows[4] .