Uma falha de segurança no Microsoft Outlook pode expor informações de autenticação de usuários do Windows. A vulnerabilidade, identificada como CVE-2026-124194, já estava sendo explorada por criminosos quando a Microsoft disponibilizou uma correção, na terça-feira (10).

Continua após a publicidade

O problema permite que invasores obtenham o hash de autenticação NTLMv2, informação que pode ser utilizada em tentativas de acesso a sistemas e contas como se fossem o usuário legítimo. Para explorar a brecha, o criminoso precisa convencer a vítima a abrir um arquivo de mensagem especialmente preparado para o ataque.

A Microsoft classificou a vulnerabilidade como moderada, mas confirmou que havia registros de exploração ativa. A falha também foi incluída pela Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA, na sigla em inglês) no catálogo de vulnerabilidades conhecidamente exploradas.

Como funciona a falha de segurança no Outlook?

• O ataque começa quando uma pessoa recebe um arquivo de mensagem malicioso e é convencida a abri-lo em uma versão afetada do Outlook;
• Ao executar o arquivo, o programa pode estabelecer conexão com um endereço de rede controlado pelo invasor. O detalhe é que isso acontece sem a exibição do aviso habitual sobre conteúdo externo;
• Nesse processo, informações de autenticação do Windows podem ser transmitidas ao servidor controlado pelo criminoso. Entre elas está o hash NTLMv2, registro criptográfico derivado das credenciais do usuário;
• Embora não seja a senha em texto puro, esse dado pode ser utilizado em tentativas de autenticação ou submetido a técnicas para tentar recuperar a senha original. Dependendo das circunstâncias, o invasor pode utilizá-lo para tentar se passar pela vítima em outros sistemas;
• A Microsoft informou que a exploração exige conexão de rede e interação do usuário. Portanto, não basta simplesmente receber uma mensagem: é necessário abrir o arquivo malicioso;
• Outro detalhe importante é que o painel de visualização do Outlook não é afetado como vetor desse ataque. A vulnerabilidade depende da abertura do arquivo de mensagem.

Leia mais:

Microsoft disponibilizou correção para a vulnerabilidade

A correção foi disponibilizada na terça-feira (10), durante o pacote mensal de atualizações de segurança da Microsoft, conhecido como Patch Tuesday.

A empresa confirmou que a CVE-2026-124194 estava sendo explorada antes da disponibilização do reparo. A vulnerabilidade foi classificada como falha de falsificação (spoofing), com pontuação 6,5 na escala CVSS, que mede a gravidade de problemas de segurança digital.

O alerta oficial cita como produtos afetados o Microsoft 365 Apps for Enterprise e as versões Office LTSC 2021 e Office LTSC 2024.

A descoberta foi creditada aos pesquisadores identificados como Nono e Benoît Sevens. Segundo a Microsoft, Sevens utilizou o Claude, modelo de inteligência artificial (IA) da Anthropic, durante o trabalho de análise da vulnerabilidade.

A CISA também incluiu a falha em seu catálogo de vulnerabilidades exploradas conhecidas, conhecido pela sigla KEV. A agência estabeleceu 24 de novembro de 2026 como prazo para que órgãos federais civis dos Estados Unidos apliquem a correção. Essa determinação é direcionada às instituições estadunidenses, não às empresas brasileiras.

Pacote de novembro corrige mais de mil falhas

A vulnerabilidade do Outlook faz parte de conjunto maior de atualizações disponibilizadas pela Microsoft em novembro.

Segundo levantamento, o pacote contempla 1.259 correções e identificadores de vulnerabilidades. Desse total, 1.094 correspondem a falhas de produtos da própria Microsoft, enquanto outros 165 identificadores foram republicados a partir de vulnerabilidades reportadas por terceiros.

Continua após a publicidade

Entre os produtos contemplados estão o Windows e o Office. O pacote inclui 726 correções relacionadas ao Windows e 174 ao Office, além de mais de 500 vulnerabilidades associadas à elevação de privilégios — quando um invasor consegue obter permissões superiores às que deveria ter em determinado sistema.

A atualização também contempla falhas que poderiam permitir a execução remota de código em componentes do Windows e uma vulnerabilidade de elevação de privilégios no Azure OpenAI.

Este é o segundo mês consecutivo em que o pacote mensal de segurança da Microsoft ultrapassa a marca de mil vulnerabilidades.