简而言之
微软在2026年11月10日的补丁星期二更新中修复了CVE-2026-124194，这是一个已被用于实际攻击的Outlook漏洞 [1][2]。一个精心构造的邮件文件，可以让Outlook在没有常规警告的情况下，把用户的NTLMv2密码哈希发送给攻击者。请把Office更新到你所用更新通道对应的版本 [5]。阻止出站SMB属于额外的通用加固措施 [7]。
要点
- CVE-2026-124194是一个Outlook欺骗漏洞，微软称其已在实际攻击中被利用 [1][2]。
- 打开精心构造的邮件文件，可能泄露用户的NTLMv2哈希；预览窗格不是攻击途径 [1]。
- 微软将其评为中等，CVSS评分为6.5，但已确认存在利用 [1][3]。
- CISA于11月10日把它列入已知被利用漏洞（KEV）清单，要求美国联邦机构在11月24日前修复 [4]。
- 已修复的版本：Office LTSC 2024为17932.21140，Office LTSC 2021为14334.21048，当前频道为20527.20196 [5]。
- 微软关于SMB的通用指南建议阻止出站TCP 445端口；这是额外的加固措施，不能替代补丁 [1][7]。
本页内容 12 个部分
Outlook零日漏洞CVE-2026-124194是什么？
CVE-2026-124194是Microsoft Outlook的一个欺骗漏洞，攻击者在修复程序出现之前就已利用它；微软于2026年11月10日修复了该漏洞 [1][2]。
微软的安全更新指南把该漏洞标为“已检测到利用”，并称在补丁发布前它并未被公开披露 [1]。其弱点类型为CWE-356，意思是产品在执行不安全操作之前不会向用户发出警告 [1][6]。
通俗地说，Outlook在从外部网络位置获取内容之前，本应显示警告。有了这个漏洞，一个特制的邮件文件就可以让Outlook在不显示该警告的情况下，连接到攻击者控制的服务器 [1][2]。
据BleepingComputer和SecurityWeek报道，它是微软2026年11月发布的更新中唯一一个被积极利用的零日漏洞 [2][3]。微软称，报告该漏洞的是一位名为“nono”的研究人员和Benoît Sevens [3]。
这是一个安全漏洞，而不是服务中断。
Outlook的NTLM哈希泄露是如何发生的？
攻击者发送一个精心构造的邮件文件；如果受害者在受影响的Outlook中打开它，Windows可能会尝试登录攻击者的服务器，并交出用户的NTLMv2哈希 [1][2]。
- 投递：攻击者通过电子邮件或其他方式分享一个恶意邮件文件 [1]。
- 用户操作：受害者在Outlook中打开该文件。微软称预览窗格不是攻击途径，因此需要点击打开 [1]。
- 隐蔽连接：Outlook在没有常规外部内容警告的情况下，连接到攻击者控制的网络位置 [1]。
- 哈希外发：Windows会自动尝试进行身份验证，从而暴露用户的NTLMv2哈希 [1][2]。
- 滥用：攻击者可以尝试离线破解该哈希，或用它冒充该用户进行身份验证 [1][2]。
NTLM是一种较旧的Windows登录协议。哈希并不是密码本身，但BleepingComputer称，被截获的NTLMv2哈希可以被离线破解 [2]，微软也指出NTLM容易受到SMB中继、中间人和暴力破解攻击 [9]。BleepingComputer还指出，类似的NTLM泄露漏洞此前就曾通过钓鱼活动中的恶意附件被利用 [2]。
微软的公告没有给出被攻击者是谁，也没有说明攻击范围有多大 [3]。
哪些Outlook版本受影响，已修复的版本号是多少？
微软列出的受影响产品包括Microsoft 365 Apps for Enterprise、Office LTSC 2021和Office LTSC 2024，32位和64位版本均受影响 [1][5]。
2026年11月的Office安全更新于11月10日发布，涵盖各个更新通道 [5]。微软在该更新的Outlook部分列出了CVE-2026-124194 [5]。下表按微软列出的各通道和版本，给出了已修复的版本号。请把你的版本号与对应你所用通道和版本的那一行进行比较。
要查看你的版本号，请在Office应用中依次打开“文件”和“Office账户”（或“账户”）；“产品信息”部分会显示产品名称，有时还会显示完整的版本号，而应用的“关于”按钮会显示完整版本 [10]。要安装更新，请依次选择“更新选项”和“立即更新” [8]。如果没有“更新选项”，只有一个“关于”按钮，说明你的副本是批量许可的，或由所在机构管理，请使用Microsoft Update或联系你的服务台 [8]。
SecurityWeek列出了同样的三款受影响产品 [3]。微软的公告只把Office产品列为受影响，并指向Office安全更新说明来获取修复，因此Windows累积更新并不是修复方法 [1][5]。
这个Outlook零日漏洞有多严重？
微软将其评为中等，CVSS 3.1基础评分为6.5，但由于攻击已经在发生，值得尽快采取行动 [1][3][4]。
CVSS向量显示，该漏洞需要用户交互（用户必须打开一个文件），对机密性的影响为高，对完整性和可用性没有影响 [1]。
有三个事实使实际的紧迫性高于评分本身：
- 已确认的利用：微软将其标记为已被利用，CISA也于2026年11月10日把它加入了已知被利用漏洞目录 [1][4]。
- 凭证窃取：微软称，泄露的哈希可被用来冒充该用户进行身份验证 [1]，并指出NTLM容易受到中继和暴力破解攻击 [9]。
- 通过钓鱼投递：BleepingComputer称，类似的NTLM漏洞此前曾通过钓鱼活动中的恶意附件被利用 [2]。
CISA给美国联邦民用机构的修复期限是2026年11月24日 [4]。CISA称，目前尚不清楚勒索软件团伙是否利用过该漏洞 [4]。日本的JPCERT/CC也发布了警报，敦促用户安装更新 [6]。
如何防范CVE-2026-124194？
请先安装2026年11月的Office更新；微软的公告把该更新列为修复方法，没有给出单独的临时解决办法 [1][5]。然后再考虑下面的通用加固措施 [7][9]。
- 更新Office：在Outlook中依次选择“文件”、“Office账户”、“更新选项”、“立即更新”，或通过你的管理工具推送更新 [5][8]。
- 确认版本号：把Outlook中显示的版本号，与微软为你所用通道列出的版本号进行比较 [5]。
- 阻止出站SMB：微软关于SMB的通用指南建议，在企业防火墙上阻止TCP 445端口向互联网的出站连接，并称除非Azure Files或Office 365等公有云服务需要，否则你不太可能用到它 [7]。这属于纵深防御，而不是微软针对该漏洞列出的临时解决办法。
- 覆盖笔记本电脑：微软建议在笔记本电脑上为公共网络设置出站防火墙规则，因为这可以减少把用户引向恶意服务器以窃取凭证的钓鱼攻击 [7]。
- 限制传出的NTLM：Windows策略“网络安全：限制NTLM：到远程服务器的传出NTLM流量”（Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers）可以审核或拒绝传出的NTLM；微软建议先选择“审核全部”，并查看日志 [9]。
- 谨慎对待邮件文件：不要打开意外收到的邮件附件，即使它来自熟悉的联系人。
由于被截获的哈希可以被离线破解 [2]，更长且唯一的密码才是更好的防御。请参阅Pouyam指南《密码管理器详解：工作原理以及是否安全》。
如果你打开了可疑的邮件文件，该怎么办？
作为一般的预防措施，请更改你当时登录所用的Windows或工作账号的密码，并告知你的IT团队，以便他们检查登录日志。
微软的公告称，该漏洞会泄露用户的NTLMv2哈希，可被用来冒充该用户进行身份验证 [1]；对于可能已经打开过此类文件的人，它没有给出任何处理步骤。被截获的哈希是由旧密码派生出来的，因此换上新密码后，该哈希就不再与账号匹配。
- 上报：告诉IT或安全人员你打开文件的时间以及发件人是谁。
- 保留邮件：不要删除它；它有助于调查人员找到其他收件人。
- 检查登录情况：管理员可以查看账号活动，看是否有陌生的位置或设备。
- 使用多重身份验证：它会让被破解的密码在登录在线服务时用处变小，但无法阻止攻击者尝试破解哈希。
把传出NTLM策略设为审核模式的管理员，会在NTLM操作日志中看到被记录的尝试，其中会标明从该设备接收NTLM身份验证请求的服务器 [9]。对家庭用户来说，步骤更简单：更新Office，如果你打开过奇怪的文件就更改密码，并开启两步登录。Pouyam指南《双重身份验证详解：哪种2FA方式最安全？》对各种方式做了比较。
微软2026年11月补丁星期二还修复了什么？
微软2026年11月的更新修复了1,000多个漏洞，但各媒体的统计不同：SecurityWeek报道为1,094个，BleepingComputer报道为1,235个 [2][3]。
两家媒体都没有完整解释这一差距。BleepingComputer称其总数不包括当月早些时候修复的108个漏洞 [2]，而SecurityWeek给出了按产品的细分，并提到微软重新发布的165个第三方CVE [3]。BleepingComputer称，其中66个漏洞被评为严重 [2]。SecurityWeek统计到726个Windows漏洞和174个Office漏洞 [3]。
Outlook漏洞是唯一被标记为已被利用的漏洞 [1][2][3]。SecurityWeek报道，这次更新还包括Windows 11 23H2版企业版和教育版的最后一次月度安全更新 [3]。
10月的更新规模更大，创下了纪录：BleepingComputer报道修复了1,411个，SecurityWeek报道为1,413个 [2][3]。BleepingComputer指出，微软继续使用AI来发现和修补漏洞 [2]。对家庭用户来说，实际的建议每个月都一样：让Windows更新和Office更新安装，然后重启。
Outlook邮件文件攻击是如何找上门来的？
这类攻击通常以钓鱼的形式出现：一封带有恶意附件的电子邮件，正如BleepingComputer对类似NTLM漏洞的描述 [2]。
微软称，攻击者必须说服用户打开恶意文件 [1]。这使得普通的钓鱼防范意识成为第一道防线。请留意意外的附件、紧急的要求，以及地址与姓名不符的发件人。
如需更全面的检查清单，请参阅Pouyam指南《什么是钓鱼攻击？如何识别虚假邮件、短信和二维码》。
企业还可以在邮件网关处过滤来自外部发件人的邮件文件附件，并在邮件来自公司外部时向用户发出提醒。这些措施不能取代补丁，但可以减少看到该文件的人数。
| Office更新通道或版本 | 已修复的版本和版本号 |
|---|---|
| 当前频道 | 版本2610（版本号20527.20196） |
| 每月企业频道 | 版本2610（版本号20527.20194） |
| 每月企业频道 | 版本2609（版本号20430.20264） |
| 每月企业频道 | 版本2608（版本号20326.20320） |
| 半年企业频道 | 版本2610（版本号20527.20192） |
| 半年企业频道 | 版本2609（版本号20430.20262） |
| 半年企业频道 | 版本2608（版本号20326.20318） |
| Office LTSC 2024（批量许可） | 版本2408（版本号17932.21140） |
| Office LTSC 2021（批量许可） | 版本2108（版本号14334.21048） |
| 项目 | 详情 |
|---|---|
| 类型 | 欺骗（CWE-356，执行不安全操作前没有警告） |
| 严重程度 | 中等，CVSS 3.1基础评分6.5 |
| 是否被利用 | 是，在补丁发布之前 |
| 攻击途径 | 用户打开精心构造的邮件文件；不通过预览窗格 |
| 影响 | NTLMv2哈希泄露 |
| CISA KEV | 2026年11月10日加入，截止2026年11月24日 |
常见错误
常见问题
术语表
来源
- CVE-2026-124194: Microsoft Outlook Spoofing Vulnerability Microsoft Security Response Center · 2026-11-10
- Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day BleepingComputer · 2026-11-10
- Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft SecurityWeek · 2026-11-10
- Known Exploited Vulnerabilities Catalog (CVE-2026-124194 entry) CISA · 2026-11-10
- Release notes for Microsoft Office security updates Microsoft Learn · 2026-11-10
- Microsoft Releases November 2026 Security Updates JPCERT/CC · 2026-11-11
- Secure SMB traffic in Windows Server Microsoft Learn
- Install Office updates Microsoft Support
- Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers Microsoft Learn
- About Office: What version of Office am I using? Microsoft Support
评论
热门评论