A Microsoft corrigiu no Patch Tuesday de novembro uma vulnerabilidade do Outlook que já estava sendo explorada por atacantes. Identificada como CVE-2026-124194, a falha é de spoofing e pode entregar ao invasor o hash NTLMv2 de quem abrir um arquivo de mensagem malicioso.
As correções saíram em 10 de novembro de 2026. No mesmo dia, a CISA incluiu a falha no catálogo de vulnerabilidades exploradas, com prazo de remediação até 24 de novembro para órgãos federais americanos.
Como o ataque funciona
O invasor não precisa estar autenticado. Ele envia um arquivo de mensagem manipulado e convence a vítima a abri-lo. O Outlook então se conecta a um servidor controlado pelo atacante sem mostrar o aviso habitual de conteúdo externo. É essa ausência de alerta que caracteriza a falha.
O risco real está no que sai da máquina: o hash NTLMv2 do usuário, que pode ser usado para se autenticar como a vítima. A Microsoft classifica a gravidade como moderada (CVSS 6.5), mas a exploração confirmada muda o peso do problema. O Painel de Leitura não aciona a falha; é preciso abrir o arquivo.
Quem precisa atualizar
Estão afetados o Microsoft 365 Apps, o Office LTSC 2021 (builds abaixo da 16.0.14334.21048) e o Office LTSC 2024 (abaixo da 16.0.17932.21140), em 32 e 64 bits. No Office, abra Arquivo, Conta, Opções de Atualização e escolha Atualizar agora. Em empresas, a atualização costuma passar pelo setor de TI.
O ciclo de novembro foi grande: a Microsoft lista 1.094 CVEs, e a Tenable, citada pelo PCWorld, contou 63 classificadas como críticas. Até instalar a correção, a regra prática é não abrir arquivos de mensagem recebidos de remetentes desconhecidos.
Fontes: PCWorld e Microsoft Security Response Center.
