Outlook zero-day CVE-2026-124194: como corrigir (nov. 2026)

O que é o zero-day do Outlook CVE-2026-124194?

A CVE-2026-124194 é uma vulnerabilidade de spoofing do Microsoft Outlook que atacantes exploraram antes de existir uma correção; a Microsoft a corrigiu em 10 de novembro de 2026 ^[1][2].

O Security Update Guide da Microsoft classifica a falha como "Exploração Detectada" e diz que ela não havia sido divulgada publicamente antes da correção ^[1]. O tipo de fraqueza é CWE-356, o que significa que o produto não avisa o usuário antes de uma ação insegura ^[1][6].

Em termos simples, o Outlook deveria mostrar um aviso antes de buscar conteúdo em um local de rede externo. Com este bug, um arquivo de mensagem especialmente criado poderia fazer o Outlook se conectar a um servidor controlado pelo atacante sem exibir esse aviso ^[1][2].

Foi o único zero-day explorado ativamente na atualização de novembro de 2026 da Microsoft, segundo BleepingComputer e SecurityWeek ^[2][3]. A Microsoft creditou um pesquisador conhecido como "nono" e Benoît Sevens pelo relato ^[3].

Esta é uma falha de segurança, não uma interrupção de serviço.

Como funciona o vazamento do hash NTLM no Outlook?

O atacante envia um arquivo de mensagem especialmente criado; se a vítima o abrir em um Outlook afetado, o Windows pode tentar fazer login no servidor do atacante e entregar o hash NTLMv2 do usuário ^[1][2].

1. Entrega: o atacante envia por e-mail ou compartilha de outra forma um arquivo de mensagem malicioso ^[1].
2. Ação do usuário: a vítima abre o arquivo no Outlook. A Microsoft diz que o Painel de Leitura não é um vetor de ataque, então é preciso um clique para abrir ^[1].
3. Conexão oculta: o Outlook se conecta a um local de rede controlado pelo atacante sem o aviso habitual de conteúdo externo ^[1].
4. Hash enviado: o Windows tenta se autenticar automaticamente, o que expõe o hash NTLMv2 do usuário ^[1][2].
5. Abuso: o atacante pode tentar quebrar o hash offline ou usá-lo para se autenticar como o usuário ^[1][2].

O NTLM é um protocolo de login mais antigo do Windows. Um hash não é a senha em si, mas o BleepingComputer diz que um hash NTLMv2 capturado poderia ser quebrado offline ^[2], e a Microsoft observa que o NTLM é vulnerável a ataques de retransmissão SMB, man-in-the-middle e força bruta ^[9]. O BleepingComputer também observou que falhas semelhantes de vazamento NTLM já foram exploradas antes por meio de anexos maliciosos em campanhas de phishing ^[2].

O comunicado da Microsoft não dá detalhes sobre quem foi atacado nem sobre a amplitude dos ataques ^[3].

Quais versões do Outlook são afetadas e quais são as builds corrigidas?

A Microsoft lista o Microsoft 365 Apps for Enterprise, o Office LTSC 2021 e o Office LTSC 2024 como afetados, nas edições de 32 e 64 bits ^[1][5].

A atualização de segurança do Office de novembro de 2026 saiu em 10 de novembro e abrange cada canal de atualização ^[5]. A Microsoft lista a CVE-2026-124194 na seção do Outlook dessa atualização ^[5]. A tabela abaixo mostra as builds corrigidas conforme a Microsoft as lista para cada canal e versão. Compare a sua build com a linha que corresponde ao seu canal e versão.

Para encontrar a sua build, abra Arquivo e depois Conta do Office (ou Conta) em um aplicativo do Office; a seção Informações do Produto mostra o nome do produto e, em alguns casos, o número completo da versão, e o botão Sobre do aplicativo mostra a versão completa ^[10]. Para instalar a atualização, escolha Opções de Atualização e depois Atualizar Agora ^[8]. Se Opções de Atualização não aparecer e houver apenas um botão Sobre, sua cópia tem licença por volume ou é gerenciada pela sua organização; use o Microsoft Update ou fale com o suporte de TI ^[8].

O SecurityWeek listou os mesmos três produtos afetados ^[3]. O comunicado da Microsoft lista apenas produtos Office como afetados e remete às notas de segurança do Office para a correção, então uma atualização cumulativa do Windows não é a correção ^[1][5].

Qual a gravidade do zero-day do Outlook?

A Microsoft a classifica como Moderada, com pontuação base CVSS 3.1 de 6,5, mas ela merece ação rápida porque já há ataques em andamento ^[1][3][4].

O vetor CVSS mostra que é necessária interação do usuário (o usuário precisa abrir um arquivo), com alto impacto na confidencialidade e nenhum impacto na integridade ou na disponibilidade ^[1].

Três fatos elevam a urgência prática além da pontuação:

• Exploração confirmada: a Microsoft a marcou como explorada, e a CISA a adicionou ao catálogo de Vulnerabilidades Conhecidas e Exploradas em 10 de novembro de 2026 ^[1][4].
• Roubo de credenciais: a Microsoft diz que o hash vazado poderia ser usado para se autenticar como o usuário ^[1] e observa que o NTLM é vulnerável a ataques de retransmissão e de força bruta ^[9].
• Entrega por phishing: o BleepingComputer diz que falhas NTLM semelhantes já foram exploradas por meio de anexos maliciosos em campanhas de phishing ^[2].

A CISA deu às agências civis federais dos EUA até 24 de novembro de 2026 para aplicar a correção ^[4]. A CISA diz que não se sabe se grupos de ransomware usaram a falha ^[4]. O JPCERT/CC, do Japão, também emitiu um alerta pedindo que os usuários apliquem as atualizações ^[6].

Como se proteger da CVE-2026-124194?

Instale primeiro a atualização do Office de novembro de 2026; o comunicado da Microsoft indica a atualização como a correção e não dá nenhuma solução alternativa separada ^[1][5]. Depois, considere as medidas gerais de reforço abaixo ^[7][9].

1. Atualize o Office: no Outlook, escolha Arquivo, Conta do Office, Opções de Atualização, Atualizar Agora, ou distribua a atualização pelas suas ferramentas de gerenciamento ^[5][8].
2. Confirme a build: compare a build exibida no Outlook com a lista da Microsoft para o seu canal ^[5].
3. Bloqueie o SMB de saída: a orientação geral da Microsoft sobre SMB recomenda bloquear a porta TCP 445 de saída para a internet no firewall corporativo e diz que provavelmente você não precisa dela, a menos que uma oferta de nuvem pública, como o Azure Files ou o Office 365, a exija ^[7]. Isso é defesa em profundidade, não uma solução alternativa listada pela Microsoft para esta falha.
4. Proteja os notebooks: a Microsoft recomenda regras de firewall de saída nos notebooks para redes públicas, porque elas reduzem ataques de phishing que levam os usuários a servidores maliciosos para coletar credenciais ^[7].
5. Restrinja o NTLM de saída: a política do Windows "Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers" pode auditar ou negar o tráfego NTLM de saída; a Microsoft recomenda selecionar primeiro Audit all e revisar o log ^[9].
6. Cuidado com arquivos de mensagem: não abra anexos de mensagem inesperados, mesmo de contatos conhecidos.

Como um hash capturado pode ser quebrado offline ^[2], uma senha longa e única é a melhor defesa. Veja o guia da Pouyam Gerenciadores de senhas explicados: como funcionam e se são seguros.

O que fazer se você abriu um arquivo de mensagem suspeito?

Como precaução geral, altere a senha da conta do Windows ou de trabalho com a qual você estava conectado e avise sua equipe de TI para que ela verifique os logs de login.

O comunicado da Microsoft diz que a falha revela o hash NTLMv2 do usuário, que poderia ser usado para se autenticar como ele ^[1]; não traz passos para quem já possa ter aberto um arquivo desse tipo. Um hash capturado é derivado da senha antiga, então uma nova senha faz com que esse hash deixe de corresponder à conta.

• Comunique: informe à TI ou à equipe de segurança o horário em que você abriu o arquivo e quem o enviou.
• Guarde o e-mail: não o apague; ele ajuda os investigadores a encontrar outros destinatários.
• Verifique os logins: os administradores podem revisar a atividade da conta em busca de locais ou dispositivos desconhecidos.
• Use autenticação multifator: ela torna uma senha quebrada menos útil para entrar em serviços online, embora não impeça um atacante de tentar quebrar o hash.

Os administradores que definirem a política de NTLM de saída em modo de auditoria verão as tentativas registradas no log operacional do NTLM, que identifica os servidores que recebem solicitações de autenticação NTLM do dispositivo ^[9]. Para usuários domésticos, os passos são mais simples: atualize o Office, troque a senha se você abriu um arquivo estranho e ative a verificação em duas etapas. O guia da Pouyam Autenticação em dois fatores explicada: qual método de 2FA é o mais seguro? compara as opções.

O que mais a Microsoft corrigiu na Patch Tuesday de novembro de 2026?

A atualização de novembro de 2026 da Microsoft corrigiu mais de 1.000 vulnerabilidades, mas os veículos contaram de formas diferentes: o SecurityWeek informou 1.094 e o BleepingComputer, 1.235 ^[2][3].

Nenhum dos dois explica totalmente a diferença. O BleepingComputer diz que seu total exclui 108 falhas corrigidas no início do mês ^[2], enquanto o SecurityWeek apresenta um detalhamento por produto e menciona também 165 CVEs de terceiros que a Microsoft republicou ^[3]. O BleepingComputer disse que 66 das falhas foram classificadas como Críticas ^[2]. O SecurityWeek contou 726 falhas no Windows e 174 no Office ^[3].

O bug do Outlook foi a única falha apontada como explorada ^[1][2][3]. A atualização também incluiu as últimas atualizações mensais de segurança das edições Enterprise e Education do Windows 11 versão 23H2, informou o SecurityWeek ^[3].

A atualização de outubro foi maior, um recorde: o BleepingComputer informou 1.411 correções e o SecurityWeek, 1.413 ^[2][3]. O BleepingComputer observou que a Microsoft continua usando IA para encontrar e corrigir vulnerabilidades ^[2]. Para usuários domésticos, o conselho prático é o mesmo todo mês: deixe o Windows Update e as atualizações do Office instalarem e depois reinicie.

Como os ataques com arquivos de mensagem do Outlook chegam às pessoas?

Ataques como este costumam chegar como phishing: um e-mail com um anexo malicioso, como o BleepingComputer descreve para falhas NTLM semelhantes ^[2].

A Microsoft diz que o atacante precisa convencer o usuário a abrir um arquivo malicioso ^[1]. Isso faz da atenção comum ao phishing a primeira linha de defesa. Fique atento a anexos inesperados, pedidos urgentes e remetentes cujo endereço não corresponde ao nome.

Para uma lista de verificação mais ampla, veja o guia da Pouyam O que é phishing? Como reconhecer e-mails, SMS e QR codes falsos.

As organizações também podem filtrar anexos de arquivos de mensagem de remetentes externos no gateway de e-mail e avisar os usuários quando uma mensagem vem de fora da empresa. Essas medidas não substituem a atualização, mas reduzem o número de pessoas que chegam a ver o arquivo.