CISA inclui zero-day corrigido do Outlook no KEV

Segundo o BleepingComputer, as atualizações de novembro de 2026 corrigem a CVE-2026-124194, uma falha zero-day do Outlook que estaria sendo explorada ativamente. A vulnerabilidade também aparece no catálogo de falhas conhecidas como exploradas, com orientação para aplicar as medidas do fornecedor.[1]BleepinComputerx.com · BleepinComputer · xAbrir fonte originalVer na lista de fontes[2]CVE-2026-124194: Microsoft Office (Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

O BleepingComputer relata que arquivos maliciosos de mensagem podem induzir o Windows a se conectar a um endereço de rede controlado pelo atacante. Essa conexão poderia expor hashes de autenticação NTLMv2, potencialmente úteis para tentar se passar pela vítima.[1]BleepinComputerx.com · BleepinComputer · xAbrir fonte originalVer na lista de fontes

O risco é relevante porque a entrada da CVE descreve falta de interação do usuário antes de uma ação potencialmente insegura. Em conjunto com o mecanismo relatado, isso sugere que simplesmente processar um arquivo preparado pode abrir caminho para o vazamento de credenciais, embora o lote não detalhe as condições exatas necessárias.[2]CVE-2026-124194: Microsoft Office (Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes[1]BleepinComputerx.com · BleepinComputer · xAbrir fonte originalVer na lista de fontes

A orientação registrada é aplicar as mitigações seguindo as instruções do fornecedor e priorizar os ativos conforme a exposição e o risco. Para órgãos federais sujeitos à diretriz citada pela CISA, o prazo indicado é 24 de novembro de 2026. Se não houver mitigação disponível, a entrada recomenda interromper o uso do produto afetado.[2]CVE-2026-124194: Microsoft Office (Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Está documentado no lote que a CVE afeta o Microsoft Office Outlook e pode permitir falsificação de identidade pela rede. Ainda não aparecem detalhes sobre campanhas, vítimas, volume de exploração ou responsáveis. O uso da falha em ransomware está marcado como desconhecido.[2]CVE-2026-124194: Microsoft Office (Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

O BleepingComputer chama a falha de zero-day do Outlook explorada ativamente e associa sua correção ao Patch Tuesday de novembro. A entrada de vulnerabilidade a descreve de modo mais técnico: ausência de interação do usuário para uma ação potencialmente insegura, permitindo falsificação por um atacante não autorizado através da rede.[1]BleepinComputerx.com · BleepinComputer · xAbrir fonte originalVer na lista de fontes[2]CVE-2026-124194: Microsoft Office (Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

A entrada da CVE foi publicada em 9 de novembro de 2026. No dia seguinte, o BleepingComputer noticiou que a correção integrava as atualizações mensais e que a vulnerabilidade já estava sob exploração ativa, acrescentando o cenário de arquivos de mensagem e vazamento de hashes NTLMv2.[2]CVE-2026-124194: Microsoft Office (Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes[3]bleepingcomputer.combleepingcomputer.com · rssAbrir fonte originalVer na lista de fontes[1]BleepinComputerx.com · BleepinComputer · xAbrir fonte originalVer na lista de fontes

2 grupos independentes, 2 atualizações e 1 interações.

O cenário descrito envolve forçar uma conexão a um caminho de rede externo. Nessa comunicação, o Windows poderia enviar material de autenticação NTLMv2. O hash não é apresentado no lote como uma senha em texto aberto, mas como um elemento que poderia ser aproveitado em tentativas de personificação. A classificação formal da CVE é de spoofing, ou falsificação de identidade.[1]BleepinComputerx.com · BleepinComputer · xAbrir fonte originalVer na lista de fontes[2]CVE-2026-124194: Microsoft Office (Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

O lote reúne uma entrada do catálogo de vulnerabilidades exploradas e dois registros ligados à mesma reportagem do BleepingComputer, um item RSS e uma publicação no X. Portanto, os dois registros jornalísticos não constituem confirmações independentes. Também não há, neste lote, boletim técnico da Microsoft com requisitos de exploração ou versões afetadas.[2]CVE-2026-124194: Microsoft Office (Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes[3]bleepingcomputer.combleepingcomputer.com · rssAbrir fonte originalVer na lista de fontes[1]BleepinComputerx.com · BleepinComputer · xAbrir fonte originalVer na lista de fontes