Vulnerabilidade do Outlook CVE-2026-124194: o que fazer hoje

A vulnerabilidade do Outlook CVE-2026-124194 já está sendo explorada: basta alguém da sua equipe abrir um arquivo de mensagem forjado para o Outlook entregar, sem aviso, o hash NTLMv2 da conta a um servidor do atacante. A Microsoft corrigiu no Patch Tuesday de 10/11/2026 e a CISA deu prazo até 24/11. Abaixo está o que eu atualizaria hoje numa PME, o que bloquear na rede e o que pode esperar.

TL;DR

• O que é: falha de spoofing (CWE-356, CVSS 6,5) no Outlook do Microsoft 365 Apps e do Office LTSC 2021/2024. Ao abrir um arquivo de mensagem forjado, o Outlook conecta a um endereço do atacante sem o aviso de conteúdo externo e vaza o hash NTLMv2 do usuário.
• Gravidade real: a nota é "moderada", mas a exploração é ativa. A CISA incluiu no catálogo KEV em 10/11 com prazo de 24/11 para órgãos federais dos EUA.
• Hoje: atualizar o Office (Click-to-Run, não o Windows Update) e conferir o build. O mesmo pacote fecha três falhas críticas do Outlook que disparam só pelo painel de leitura.
• Esta semana: bloquear SMB de saída (TCP 445/139) no firewall e auditar NTLM de saída antes de bloqueá-lo.
• Pode esperar alguns dias: a atualização cumulativa do Windows nas estações, que tem relatos de falha de instalação em investigação.

O que é a vulnerabilidade do Outlook CVE-2026-124194

A Microsoft classifica a CVE-2026-124194 como uma falha de falsificação (spoofing) no Outlook. O nome técnico do problema, CWE-356, quer dizer "a interface não avisa o usuário antes de uma ação insegura". Na prática, o Outlook deveria perguntar antes de buscar conteúdo de um endereço externo e não pergunta.

O roteiro do ataque, segundo o FAQ da Microsoft e as análises publicadas, é este:

1. O atacante manda um arquivo de mensagem forjado (analistas citam anexos .msg e .oft).
2. A pessoa abre o arquivo. Só a pré-visualização não basta: a Microsoft afirma que o painel de leitura não é vetor desta CVE.
3. O arquivo carrega uma referência externa, tipicamente um caminho de rede (UNC) apontando para um servidor do atacante.
4. O Outlook tenta acessar esse caminho sem exibir o aviso de conteúdo externo, e o Windows responde com a autenticação NTLM da pessoa logada.
5. O atacante captura o hash NTLMv2, que pode ser quebrado offline (se a senha for fraca) ou retransmitido (relay) para entrar em outro serviço como se fosse o usuário.

Os dados oficiais da ficha da CVE no Security Update Guide da Microsoft são: CVSS 3.1 de 6,5, vetor de rede, sem privilégio, com interação do usuário e impacto só em confidencialidade. A falha não foi divulgada antes da correção, e a Microsoft marcou "Exploração detectada". Não há indicadores públicos de campanha (IPs, domínios, remetentes ou nomes de arquivo), e a Microsoft não disse quem está explorando nem em que escala.

Por que uma nota 6,5 merece prioridade máxima

Eu já expliquei em como priorizar vulnerabilidades no Patch Tuesday por que a nota CVSS sozinha engana. Esta é a confirmação do argumento: a vulnerabilidade do Outlook tem nota média, mas está no catálogo de exploradas da CISA. Isso significa que alguém já usa a falha contra empresas reais. Uma falha 9,8 sem exploração conhecida pode esperar a janela de manutenção. Uma falha 6,5 explorada em um programa que todo funcionário abre o dia inteiro não pode.

Quem está exposto à vulnerabilidade do Outlook (e quem não está)

Na lista oficial de produtos afetados pela vulnerabilidade do Outlook estão o Microsoft 365 Apps for Enterprise e o Office LTSC 2021 e 2024, em 32 e 64 bits. Para uma PME brasileira, isso cobre quase todo mundo que usa o Outlook clássico de desktop pago por assinatura.

Produto	Afetado abaixo de	Build corrigido (10/11/2026)
Office LTSC 2021	16.0.14334.21048	Versão 2108, build 14334.21048
Office LTSC 2024	16.0.17932.21140	Versão 2408, build 17932.21140
Microsoft 365 Apps, Canal Atual	build anterior ao de novembro	Versão 2610, build 20527.20196
Microsoft 365 Apps, Mensal Empresarial	build anterior ao de novembro	2610 (20527.20194), 2609 (20430.20264) ou 2608 (20326.20320)
Microsoft 365 Apps, Semestral Empresarial	build anterior ao de novembro	2610 (20527.20192), 2609 (20430.20262) ou 2608 (20326.20318)

Os builds que corrigem a vulnerabilidade do Outlook estão nas notas de versão de segurança do Microsoft 365 Apps. Três observações de quem administra esses ambientes:

• Planos Business (Business Standard e Premium) instalam o mesmo Microsoft 365 Apps Click-to-Run, nos mesmos canais. Trate como afetado e confira o build.
• Outlook na web, iOS e Android não aparecem na lista de afetados. O risco está no desktop do Windows.
• Office 2016 e 2019 não constam da lista, mas saíram do suporte em outubro de 2025. Se ainda roda na sua empresa, o problema é maior que esta CVE: ele não recebe mais correção nenhuma.

O que atualizar hoje: o Office, não o Windows

Este é o erro que mais vou ver nesta semana. A correção da vulnerabilidade do Outlook não vem pelo Windows Update. O Office moderno se atualiza pelo próprio mecanismo Click-to-Run. Se a empresa "rodou o Windows Update" e parou aí, o Outlook continua vulnerável.

Passo a passo numa máquina

1. Abra o Outlook (ou Word) → Arquivo → Conta do Office.
2. Em Opções de Atualização, clique em Atualizar Agora.
3. Feche e reabra o Outlook quando terminar.
4. Volte em Conta do Office e confira a linha "Versão XXXX (Build YYYYY.ZZZZZ Clique para Executar)". Compare com a tabela acima.

Em várias máquinas

• Com Intune ou Configuration Manager: force a implantação da atualização de novembro e acompanhe o relatório de conformidade por build, não por "atualização aplicada".
• Sem gestão centralizada: dá para disparar a atualização pela linha de comando em cada estação: "C:\Program Files\Common Files\microsoft shared\ClickToRun\OfficeC2RClient.exe" /update user. Em empresa de 10 a 30 máquinas, isso cabe num script do PowerShell rodado remotamente ou num acesso remoto agendado.
• Atenção ao canal Semestral: muita empresa deixa o Office no canal Semestral para "evitar surpresa". Ele também recebeu a correção, mas só se a atualização não estiver bloqueada por política.

O bônus que justifica não esperar

O mesmo pacote que corrige a vulnerabilidade do Outlook fecha três falhas críticas de execução remota de código no Outlook (CVE-2026-110043, CVE-2026-110068 e CVE-2026-111309, CVSS 8,8). Nessas, segundo a análise do IT-Connect, visualizar o e-mail no painel de leitura já basta. Nenhuma está marcada como explorada, mas são o tipo de falha que vira exploração rápido. Atualizar o Office hoje fecha as quatro de uma vez.

Como bloquear NTLM e SMB de saída sem parar a empresa

Atualizar resolve esta vulnerabilidade do Outlook. O bloqueio de saída resolve a próxima. Vazamento de hash NTLM pelo Outlook não é novidade, e a defesa estrutural é impedir que uma estação entregue credencial para um servidor da internet.

1. SMB de saída no firewall (hoje ou amanhã)

Nenhuma estação de uma PME precisa falar SMB com a internet. Bloqueie na borda as portas TCP 445 e 139 (e UDP 137-138) de saída para destinos externos. Compartilhamento de arquivos dentro da rede local continua funcionando, porque o bloqueio é só para fora.

O risco de quebrar algo é baixo. Quando quebra, costuma ser um NAS ou backup "na nuvem" configurado de forma errada, expondo SMB direto para a internet. Nesse caso, o bloqueio revelou um problema que já existia.

2. A armadilha do WebDAV

Bloquear a 445 não fecha tudo. Quando o SMB falha, o Windows pode tentar o mesmo caminho via WebDAV sobre HTTP (portas 80/443), pelo serviço WebClient, e também autenticar com NTLM. Por isso o firewall é a primeira camada, não a única. Nas estações que não usam WebDAV, desativar o serviço WebClient fecha esse desvio.

3. NTLM de saída por política, sempre em modo auditoria primeiro

A política certa é "Segurança de rede: restringir NTLM: tráfego NTLM de saída para servidores remotos" (Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers). A documentação da Microsoft descreve três valores: Permitir todos, Auditar todos e Negar todos. Não definida equivale a Permitir todos.

O caminho que eu sigo:

1. Ative Auditar todos por GPO (ou Intune) em poucas máquinas.
2. Deixe rodar uma ou duas semanas e leia o log Applications and Services Logs → Microsoft → Windows → NTLM → Operational.
3. Monte a lista de exceções com os servidores internos que ainda dependem de NTLM (impressora antiga, ERP legado, NAS).
4. Só então passe para Negar todos, com as exceções cadastradas.

Quando não fazer: não vá direto para "Negar todos" numa sexta à tarde. Em PME com sistema legado no servidor local, isso derruba acesso a pasta compartilhada, impressora e ERP antes do almoço de segunda.

4. Contas administrativas no grupo Protected Users

Em empresas com Active Directory, colocar as contas de administrador no grupo Protected Users impede que elas autentiquem por NTLM. É o hash mais valioso que um atacante poderia pegar, e é o primeiro que vale proteger.

Como checar se a vulnerabilidade do Outlook já vazou algum hash

A Microsoft não publicou indicadores da campanha que explora a vulnerabilidade do Outlook, então a checagem é comportamental. O que eu procuraria, do mais simples ao mais avançado:

• Log do firewall: conexões de saída para a porta 445 vindas de estações, com destino fora da rede, nos últimos 30 dias. Em PME sem SMB externo legítimo, qualquer ocorrência merece investigação.
• Log NTLM Operational (se a auditoria já estava ligada): tentativas de autenticação NTLM para endereços da internet.
• Sysmon ou antivírus com EDR: evento de conexão de rede (Sysmon ID 3) em que o processo é OUTLOOK.EXE e o destino é um IP público na porta 445.
• Controlador de domínio: eventos 4624 com tipo de logon 3 e autenticação NTLM vindos de máquinas ou horários que não fazem sentido. Isso aponta para um hash já reutilizado em relay.
• Microsoft Entra (portal do Microsoft 365): logins de localidade incomum para as pessoas que abriram anexos suspeitos.

Se encontrar sinal

Primeiro, preserve os logs (firewall, e-mail, estação) antes de "limpar" qualquer coisa. Depois, troque a senha das contas envolvidas, encerre as sessões ativas e confira se a mesma senha era usada em outro lugar. Um hash NTLMv2 quebrado vira a senha em texto, e senha repetida no ERP, no VPN e no painel da hospedagem transforma um incidente pequeno num grande. Se o MFA estiver ativo no Microsoft 365, a senha sozinha não entra lá, mas pode entrar em serviço interno sem MFA.

Por que o restante do Patch Tuesday de novembro pode esperar alguns dias

O Patch Tuesday de novembro de 2026 corrigiu 1.093 vulnerabilidades sem contar o Edge (1.094 na contagem da CSO Online), 63 delas críticas. É o segundo maior da história, atrás só do de outubro, com 1.407. A CVE-2026-124194 é a única marcada como explorada.

Fora a vulnerabilidade do Outlook, nada ali está sendo explorado. Para uma PME típica, com 10 a 80 estações e nenhum servidor exposto, a ordem prática fica assim:

Item	Quando	Motivo
Office (Click-to-Run) em todas as estações	Hoje	Única falha explorada + 3 RCE críticas do Outlook
Bloqueio de SMB de saída	Hoje ou amanhã	Mitiga esta classe de ataque, risco baixo
Exchange Server local, se existir (KB5133453)	Esta semana	RCE crítica CVE-2026-118207
Controladores de domínio	Esta semana, com janela	LDAP CVE-2026-119958 (9,8), exploração "menos provável"
Atualização cumulativa do Windows nas estações	Em 3 a 7 dias, em anel	Relatos de falha de instalação ainda em análise
Hyper-V e servidores internos	Próxima janela de manutenção	Elevação de privilégio, exige acesso prévio

O caso da cumulativa do Windows 11

A atualização KB5132061 do Windows 11 tem relatos de falha de instalação com os códigos 0x800f0989 e 0x80070306, e o Windows Latest informou que a Microsoft está investigando. A página oficial ainda não lista problema conhecido. É o cenário clássico para atualizar em anéis: 10% das máquinas primeiro, o resto depois de alguns dias sem incidente.

Quando não esperar: se você tem Exchange local exposto à internet, controlador de domínio acessível de fora ou Windows Search indexando anexos de e-mail num servidor (CVE-2026-116928, 9,8), esses não entram no "pode esperar". Esse foi o raciocínio do post sobre priorização de outubro, e ele continua valendo: exposição e exploração ativa mandam mais que a nota.

E vale lembrar o outro lado. Em a queda do Microsoft 365, Outlook e Teams de novembro a lição foi que a dependência de um único fornecedor precisa de plano B. Aqui a lição é parecida: o Outlook é a porta de entrada mais usada da empresa, e merece controle próprio, não só a boa vontade da atualização automática.

Armadilhas e custos que ninguém coloca na conta

• "A atualização automática resolve a vulnerabilidade do Outlook." Só se estiver ligada e funcionando. Já encontrei Office com atualização desativada por um técnico anos antes, para "não atrapalhar". A única prova é o número do build.
• Office pirata ou de licença por volume antiga. Não atualiza pelo canal normal, ou não atualiza nada. É frequente em PME e é um risco de segurança, não só jurídico.
• Conta de usuário com direito de administrador local. Não muda esta CVE, mas multiplica o estrago de qualquer anexo que execute código.
• Custo de fazer à mão. Em 30 estações, conferir build uma a uma leva uma manhã inteira de um técnico. Com Intune ou um script de inventário, leva minutos. O segundo é mais barato já no segundo mês.
• Senha reaproveitada. O hash vazado só vira desastre quando a senha é fraca ou repetida em outros sistemas. Política de senha e MFA são a rede de proteção quando o patch atrasa.

Nos servidores que operamos, de Moodle a APIs do WhatsApp, a regra é a mesma que vale para o Outlook: inventário com versão exata, atualização em anel e saída de rede fechada por padrão. Escrevi sobre essa divisão de responsabilidade em quem aplica patch na hospedagem compartilhada, VPS ou gerenciada. O princípio para estações Windows é idêntico.

Como a Agathas Web resolve isso

Na consultoria de tecnologia da Agathas Web, uma falha como esta vulnerabilidade do Outlook é tratada em duas frentes: a resposta imediata e o motivo de a empresa ter ficado exposta.

O que está incluso na frente de segurança:

• Inventário das estações com versão e canal do Office, versão do Windows e quem tem direito de administrador.
• Revisão das regras de saída do firewall (SMB, WebDAV e portas desnecessárias) e plano de bloqueio sem derrubar sistema legado.
• Implantação da auditoria de NTLM de saída, leitura dos logs e lista de exceções antes do bloqueio.
• Checagem de sinais de vazamento nos logs disponíveis e roteiro de troca de senhas se houver indício.
• Política de atualização em anéis para Office e Windows, para o próximo Patch Tuesday não virar correria.

Como funciona: começamos com acesso somente leitura aos sistemas e uma conversa com quem responde pela TI. Quem conduz é o sócio técnico, não um terceirizado. O resultado é um relatório com o que está bem, o que é crítico e a ordem de execução, com os ganhos rápidos separados do que exige projeto.

Como contratar: pela página de consultoria e auditoria de TI você pede o diagnóstico. Se a urgência for só esta CVE, dá para começar pelo item de segurança e ampliar depois.

Conclusão: atualize o Office hoje e feche a saída da rede esta semana

A vulnerabilidade do Outlook CVE-2026-124194 tem nota média e risco alto, porque já é explorada e mora no programa que a empresa inteira usa. A resposta é curta. Hoje, atualize o Office pelo Click-to-Run e confira o build. Esta semana, bloqueie SMB de saída e ligue a auditoria de NTLM. Nos próximos dias, aplique a cumulativa do Windows em anéis.

Se você não tem certeza de qual build roda em cada máquina, ou se ninguém na empresa sabe dizer o que o firewall deixa sair, esse é o sinal de que vale uma auditoria de segurança com a Agathas Web antes do próximo Patch Tuesday, em 8 de dezembro.