Microsoft corrige falha de segurança no Outlook que expunha dados de autenticação

Uma falha de segurança no Microsoft Outlook, identificada como CVE-2026-124194, permitia a exposição de informações de autenticação de usuários do Windows. A vulnerabilidade já estava sendo explorada por criminosos quando a Microsoft disponibilizou uma correção na terça-feira (10).

O problema possibilitava que invasores obtivessem o hash de autenticação NTLMv2, uma informação que pode ser usada em tentativas de acesso a sistemas e contas como se fossem o usuário legítimo. Para explorar a brecha, o criminoso precisava convencer a vítima a abrir um arquivo de mensagem especialmente preparado para o ataque.

Como funciona a falha de segurança no Outlook?

O ataque iniciava quando um usuário recebia um arquivo de mensagem malicioso e o abria em uma versão afetada do Outlook. Ao executar o arquivo, o programa podia estabelecer conexão com um endereço de rede controlado pelo invasor, sem exibir o aviso habitual sobre conteúdo externo.

Nesse processo, informações de autenticação do Windows, como o hash NTLMv2, podiam ser transmitidas ao servidor do criminoso. Embora não seja a senha em texto puro, esse dado pode ser submetido a técnicas para tentar recuperar a senha original ou utilizado em tentativas de autenticação para se passar pela vítima em outros sistemas.

A Microsoft informou que a exploração exigia conexão de rede e interação do usuário, ou seja, não bastava apenas receber a mensagem, era preciso abri-la. O painel de visualização do Outlook não era afetado como vetor desse ataque.

Microsoft disponibilizou correção para a vulnerabilidade

A correção foi disponibilizada na terça-feira (10), como parte do pacote mensal de atualizações de segurança da Microsoft, conhecido como Patch Tuesday. A empresa confirmou que a CVE-2026-124194 estava sendo explorada ativamente antes do reparo.

A vulnerabilidade foi classificada como falha de falsificação (spoofing), com pontuação 6,5 na escala CVSS. Os produtos afetados incluem o Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024. A descoberta foi creditada aos pesquisadores Nono e Benoît Sevens, sendo que Sevens utilizou o modelo de inteligência artificial Claude, da Anthropic, em sua análise.

Pacote de novembro corrige mais de mil falhas

A vulnerabilidade do Outlook faz parte de um conjunto maior de atualizações disponibilizadas pela Microsoft em novembro, que contempla 1.259 correções. Desse total, 1.094 são falhas de produtos da própria Microsoft e 165 foram republicadas.

Entre os produtos contemplados estão o Windows e o Office. O pacote inclui 726 correções relacionadas ao Windows e 174 ao Office, além de mais de 500 vulnerabilidades associadas à elevação de privilégios. A atualização também aborda falhas que poderiam permitir a execução remota de código em componentes do Windows e uma vulnerabilidade de elevação de privilégios no Azure OpenAI.

Este é o segundo mês consecutivo em que o pacote mensal de segurança da Microsoft ultrapassa a marca de mil vulnerabilidades.