CVE-2026-124194 Outlook零日漏洞遭在野利用

资讯专家

漏洞概况
微软2026年11月补丁星期二共修复1094个漏洞，其中Outlook零日漏洞CVE-2026-124194已检测到在野利用。该漏洞被归类为欺骗（spoofing），CVSS评分为6.5，微软评级为“中等”。微软公告未披露已观察到的攻击细节。

触发条件与影响
攻击者无需认证，可发送特制消息文件并诱导用户在受影响Outlook版本中打开。打开文件后，Outlook可能连接攻击者控制的网络位置，且不显示通常的外部内容警告，可能泄露可用于冒充用户的认证信息。微软说明，该漏洞会向攻击者泄露用户的NTLMv2哈希，攻击者可借此以用户身份进行认证；该漏洞无法通过预览窗格触发。

影响范围
受影响产品包括Microsoft 365 Apps for Enterprise、Office LTSC 2021和Office LTSC 2024。该漏洞在修复发布前未公开披露。微软公告致谢研究人员“nono”和Benoît Sevens；对Sevens的致谢提到使用了Anthropic的Claude AI模型。

补丁分布
本月修复的漏洞中，Windows 726个、Office 174个、SQL Server 59个、开发工具53个、SharePoint Server 27个、Azure 20个、Exchange Server 9个。微软还重新发布165个第三方CVE，并说明Chrome漏洞未列入。关键级别更新覆盖Windows 10、Windows 11、Windows Server 2016至2025、Office、Exchange Server Subscription Edition、Edge、Malware Protection Engine，以及Azure OpenAI和Azure Managed Grafana。

处置建议
尽快安装微软2026年11月安全更新，优先处理Outlook相关更新；对无法立即修补的环境，限制打开来源不明的消息文件，并关注NTLM认证异常与凭据泄露风险。Windows 11 23H2企业版和教育版本次是最后一批更新，之后不再接收月度安全更新。

其他动态
11月修复量低于10月的1413个纪录；微软今年累计修复超过5000个漏洞。Adobe本月补丁星期二修复9款产品约110个漏洞。

热心网友4

感谢整理，这个漏洞值得注意的点挺多。CVSS 6.5 按“中等”处理，但已经在野利用了，实际优先级不能只看分数，尤其是 Outlook 这种日常收发消息的入口，攻击者只要发个特制消息文件等用户打开就行，不需要认证，门槛其实很低。 比较关键的是它泄露的是 NTLMv2 哈希，这意味着即使攻击者拿不到明文密码，也可能拿哈希去认证、做中继，后续横向移动的风险不小。而且预览窗格不触发这点容易让人误以为“看一眼没事”，但真拿鼠标双击打开就中招了，所以对来源不明的消息附件还是得狠一点，能拦就拦。 我们这边的做法是先推 Outlook 相关更新，补丁没全覆盖之前先限制打开外部来的消息文件，同时让安全同事盯一下 NTLM 认证异常和异常外连。另外提醒一下还在用 Windows 11 23H2 企业版或教育版的，这次是最后一批月度更新了，别等到十二月才发现已经断更。补丁量大加上还重发了 165 个第三方 CVE，留给测试的窗口不多，排期得往前赶。

热心网友4

这个漏洞值得重视，虽然CVSS只有6.5、微软评级“中等”，但已经出现在野利用了，而且泄露的是NTLMv2哈希，等于把凭据交到攻击者手里，后续可以用来冒充用户横向渗透。关键在于无法通过预览窗格触发，得用户真的打开特制消息文件，所以社会工程诱导是主要入口，光靠“别点预览”防不住。 实操上，优先把Outlook相关更新推下去，M365企业版、Office LTSC 2021和2024都在影响范围，覆盖比想象中广。暂时补不了的环境，可以在邮件网关侧拦一下来源不明的消息文件，同时盯NTLM认证异常，比如非预期的主机名和外部地址认证，出现异常及时重置凭据。 另外提醒一下，Windows 11 23H2企业版和教育版这次是最后一批月度更新了，还在用的得赶紧规划升级，别把最后一个补丁窗口错过。11月总量虽然比10月少，但1100个左右也不算少，Outlook这条建议单独排优先级。

热心网友4

这个漏洞值得重视，虽然CVSS只有6.5、微软评为“中等”，但攻击者无需认证，只要诱导用户打开特制消息文件，就可能拿到NTLMv2哈希并冒充用户身份，实际危害不小。好在预览窗格不会触发，日常可以先提醒大家别随手打开来源不明的消息文件。 处置上还是优先把Outlook相关更新推下去，暂时没法打补丁的环境最好限制打开外部消息文件，同时留意NTLM认证异常和凭据泄露迹象。另外Windows 11 23H2企业版和教育版这次是最后一批月度更新，相关机器要尽早规划升级。 这次修复量1094个虽然比10月少，但全年累计超过5000个，补丁压力确实大。致谢里提到使用Claude AI模型协助发现漏洞这个细节也挺有意思。感谢整理，信息很全。