Microsoft Corrige Vulnerabilidade Zero-Day no Outlook Explorada Ativamente que Expondo Hashes NTLM

A Microsoft corrigiu a CVE-2026-124194, uma vulnerabilidade zero-day explorada ativamente no Microsoft Outlook que pode expor as informações de autenticação NTLMv2 de um usuário quando um arquivo de mensagem especialmente elaborado é aberto. A Microsoft classifica o problema como uma vulnerabilidade de spoofing e a avalia como Moderada, com uma pontuação CVSS 3.1 de 6.5.

A vulnerabilidade

A vulnerabilidade permite que um atacante remoto não autenticado envie um arquivo de mensagem malicioso e convença uma vítima a abri-lo em uma versão afetada do Outlook. O Outlook pode então se conectar a um local de rede controlado pelo atacante sem exibir o aviso de conteúdo externo que os usuários normalmente esperariam. Durante essa conexão, o Windows pode expor informações de autenticação NTLMv2 que podem ser potencialmente abusadas para se passar pela vítima.

A Microsoft confirmou que a CVE-2026-124194 já foi explorada em ataques. No entanto, a empresa não divulgou os agentes de ameaça envolvidos, a escala da campanha, as organizações vítimas, a infraestrutura de entrega ou se o material de autenticação roubado foi usado para movimentação lateral subsequente ou comprometimento de contas.

A falha foi tratada como parte da atualização de terça-feira de segurança de novembro de 2026 da Microsoft em 10 de novembro. Os produtos afetados incluem Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 e Microsoft Office LTSC 2024 em sistemas de 32 bits e x64.

A CISA adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Exploradas Conhecidas em 10 de novembro, confirmando evidências de exploração ativa e estabelecendo 24 de novembro de 2026 como o prazo de remediação para agências federais dos EUA aplicáveis.

Versões afetadas e correções

O registro CVE identifica as seguintes versões afetadas e corrigidas:

As instalações de 32 bits e x64 são afetadas. As organizações que usam Microsoft 365 Apps devem confiar nas informações de Lançamentos de Segurança do Office da Microsoft, pois os números de compilação diferem entre os canais de serviço.

A Microsoft atribui a um pesquisador que usa o pseudônimo "nono" e ao pesquisador de segurança Benoît Sevens a descoberta ou o relato do problema. A SecurityWeek observa que o reconhecimento da Microsoft para Sevens refere-se ao uso do modelo de IA Claude da Anthropic durante a pesquisa. As fontes disponíveis não fornecem a data exata em que a vulnerabilidade foi descoberta privadamente ou relatada inicialmente à Microsoft.

Mitigação

A remediação primária é instalar imediatamente as atualizações de segurança do Office de novembro de 2026 da Microsoft. As instalações do Office LTSC 2021 devem ser atualizadas para a compilação 16.0.14334.21048 ou posterior, enquanto as instalações do Office LTSC 2024 devem executar a 16.0.17932.21140 ou posterior. Os usuários do Microsoft 365 Apps for Enterprise devem verificar se seu canal de serviço recebeu o lançamento de segurança atual correspondente.

Como a exploração já está ocorrendo, as organizações devem verificar a implantação bem-sucedida em vez de assumir que as atualizações automáticas do Office alcançaram todos os dispositivos.

Os administradores devem tomar as seguintes medidas:

• Inventariar as instalações do Microsoft Outlook em endpoints gerenciados.
• Identificar sistemas Microsoft 365 Apps, Office LTSC 2021 e Office LTSC 2024 que não receberam a atualização de segurança de novembro.
• Implantar as compilações corrigidas imediatamente e verificar a instalação.
• Revisar endpoints que permaneceram vulneráveis enquanto a exploração estava ativa.
• Bloquear tráfego SMB de saída desnecessário para a internet.
• Auditoria a autenticação NTLM de saída e reduza o uso de NTLM sempre que operacionalmente possível.
• Investigar atividade incomum do Outlook para a rede e tentativas de autenticação inesperadas.
• Educar os usuários para não abrir arquivos de mensagem do Outlook não solicitados ou anexos de fontes não confiáveis.

Bloquear o SMB de saída na porta TCP 445 fornece uma camada de proteção adicional importante. A Microsoft recomenda explicitamente impedir que o tráfego SMB saia da rede corporativa, a menos que haja um requisito operacional específico para serviços SMB hospedados na internet.

As organizações também devem considerar restringir o NTLM. O Windows fornece a política "Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers", que pode ser configurada primeiro no modo de auditoria para identificar dependências antes que os administradores comecem a bloquear a autenticação.

Desativar abruptamente o NTLM em toda a empresa pode quebrar aplicativos e fluxos de trabalho legados. As organizações devem, portanto, auditar o uso, identificar dependências legítimas, implementar exceções necessárias e mover progressivamente a autenticação para Kerberos ou outros mecanismos mais fortes.

Se a exploração suspeita for identificada, simplesmente instalar a atualização não é suficiente para encerrar o incidente. As equipes de segurança devem identificar a identidade afetada e revisar a atividade de autenticação ocorrida após a abertura do arquivo de mensagem suspeito. Procure conexões SMB incomuns, logons remotos, movimentação lateral, acesso a compartilhamentos de arquivos, autenticação VPN, logins na nuvem e outros serviços que aceitam as credenciais afetadas.

Onde as evidências sugerem que as informações de autenticação foram expostas ou abusadas com sucesso, redefina a senha relevante e revogue as sessões ativas de acordo com os procedimentos de resposta à identidade da organização. As credenciais privilegiadas adicionais acessíveis à conta afetada também devem ser investigadas.

Os logs de endpoint, proxy, firewall, e-mail, EDR e identidade devem ser preservados antes da remediação quando o comprometimento for suspeito. Correlacionar essas fontes pode ajudar a reconstruir a sequência desde a entrega de phishing até a divulgação de NTLM e possível autenticação subsequente.

Por que isso importa

A CISA adicionou a vulnerabilidade ao KEV em 10 de novembro e exige que as agências federais aplicáveis a remediem até 24 de novembro de 2026. A CISA lista o uso conhecido em campanhas de ransomware como desconhecido. A Microsoft não publicou IOCs específicos da campanha para a CVE-2026-124194, como endereços IP maliciosos, domínios, hashes de anexos, endereços de remetente ou nomes de arquivo associados aos ataques observados. A identidade dos atacantes e seu direcionamento permanecem não divulgados. Isso significa que as organizações precisam priorizar a caça baseada em comportamento em vez da correspondência estática de IOCs.

Fontes (em inglês)

• socprime.com: CVE-2026-124194: Outlook Zero-Day Exposes NTLM Hashes
• techrepublic.com: Microsoft Patches 1,235 Security Flaws: Outlook Zero-Day Already Under Attack
• gbhackers.com: Microsoft Outlook Zero-Day Vulnerability Actively Exploited to Steal NTLM Authentication Hashes
• cyberpress.org: Hackers Exploit Microsoft Outlook Zero-Day to Steal NTLM Credentials in Active Attacks

Tradução feita com IA do artigo original em inglês, revisada automaticamente para dizer o mesmo que o original. As fontes foram verificadas em inglês.