Vulnerabilidade no Outlook permite captura de credenciais Windows antes de correção
Microsoft divulgou correção para falha de spoofing moderada; CISA a listou entre ameaças ativas nos EUA
Uma vulnerabilidade identificada como CVE‑2026‑124194 no Microsoft Outlook permite que invasores capturem o hash NTLMv2 de credenciais do Windows ao abrir um arquivo de mensagem especialmente preparado, segundo a Microsoft, que divulgou a falha e a correção em 10 de novembro de 2026.
Classificação e produtos afetados
A Microsoft classificou a falha como moderada, com pontuação 6,5 na escala CVSS, e a incluiu no catálogo de vulnerabilidades conhecidamente exploradas da CISA; os produtos afetados são Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024.
Exploração ativa e investigação
A empresa confirmou que a vulnerabilidade já era explorada antes da disponibilização do reparo; a descoberta foi creditada aos pesquisadores Nono e Benoît Sevens, sendo que Sevens utilizou o modelo de IA Claude da Anthropic durante a análise, conforme informado pela Microsoft.
Recomendações e prazos da CISA
A CISA incluiu a falha em seu catálogo KEV e estabeleceu 24 de novembro de 2026 como prazo para que órgãos federais civis dos Estados Unidos apliquem a correção, medida que não se estende a empresas brasileiras, de acordo com a agência.
Leia Também
Concórdia SAF define comissão técnica para a temporada de 2027
PM faz prisões no bairro das Nações após flagrante de tráfico de drogas
Justiça autoriza retomada da pavimentação no bairro Poente do Sol em Concórdia
