A CISA, agência de segurança cibernética dos Estados Unidos, confirmou a exploração ativa de uma falha zero day no Microsoft Outlook que expõe dados de autenticação do usuário. Identificada como CVE-2026-124194, a vulnerabilidade entrou no catálogo de falhas exploradas conhecidas da agência em 10 de novembro de 2026, com prazo de correção em 24 de novembro.
Segundo o comunicado da Microsoft, o atacante envia um arquivo de mensagem especialmente construído e convence a vítima a abri-lo no Outlook. O aplicativo pode então se conectar a um local de rede controlado pelo atacante sem exibir o aviso habitual sobre conteúdo externo, a etapa que normalmente alerta o usuário antes que a conexão saia do ambiente confiável.
A exploração exige que a vítima abra o arquivo malicioso, o que afasta a hipótese de ataque sem clique. A Microsoft afirma que o Painel de Leitura do Outlook não é vetor para esta vulnerabilidade. A falha é classificada sob a CWE-356, categoria que cobre software que deixa de obter aprovação do usuário antes de uma ação potencialmente insegura.
A conexão forçada revela o hash NTLMv2 da vítima, material de autenticação que um invasor pode usar para se passar pelo usuário na rede corporativa. A Microsoft classifica o problema como spoofing, e não como execução remota de código, e atribui nota 6.5 na escala CVSS, com alto impacto sobre a confidencialidade.
A Microsoft marcou a exploração como detectada, mas o comunicado não identifica os atacantes, as vítimas, a escala da campanha nem indicadores de comprometimento. Na ordem de aplicação das correções, a evidência de exploração confirmada pesa mais do que o rótulo de severidade moderada.
Foram afetadas as edições de 32 bits e 64 bits do Microsoft 365 Apps for Enterprise, do Office LTSC 2021 e do Office LTSC 2024. As compilações corrigidas incluem a 16.0.14334.21048 para o LTSC 2021 e a 16.0.17932.21140 para o LTSC 2024.
O prazo da CISA exige que as organizações apliquem as mitigações do fabricante, avaliem a exposição à internet e descontinuem os produtos afetados caso não haja correção. Para os administradores, a sequência é localizar as instalações do Office afetadas, distribuir as correções e conferir o número da compilação em cada máquina, em vez de confiar apenas nos relatórios de implantação.
