A CVE-2026-124194 jelű Outlook-hibát a Microsoft megtévesztési sérülékenységként sorolja be. Egy hitelesítés nélküli támadó speciálisan elkészített üzenetfájlt küldhet, majd rá kell vennie a címzettet, hogy azt megnyissa az Outlook érintett verziójában.
A probléma ezután válik komollyá. A fájl megnyitásakor az Outlook kapcsolatot kezdeményezhet egy támadó által vezérelt hálózati helyhez anélkül, hogy megjelenne a megszokott, külső tartalomra figyelmeztető jelzés. Ennek során kiszivároghat a felhasználó NTLMv2 hitelesítési hash-e.
Ez nem maga a jelszó, hanem a Windows hitelesítési folyamatában használt lenyomat, de ettől még értékes lehet egy támadónak. A megszerzett adat felhasználható a felhasználó megszemélyesítésére, illetve offline jelszótörési próbálkozásokhoz is.
Fontos részlet, hogy a támadás nem működik pusztán attól, hogy a rosszindulatú levél megérkezik. Hálózati kapcsolat és felhasználói közreműködés szükséges, a fájlt meg kell nyitni. Az Outlook előnézeti ablaka sem elegendő a hiba kihasználásához.
A Microsoft a sérülékenységet 6.5-ös CVSS pontszámmal, közepes súlyosságúként tartja nyilván. A gyakorlati kockázatot viszont erősen növeli, hogy a hibát már a javítás megjelenése előtt is használták támadásokban. A frissítés a Microsoft 365 Apps for Enterprise, valamint az Office LTSC 2024 és Office LTSC 2021 érintett kiadásaihoz is elérhető.
Maga a novemberi Patch Tuesday (a Microsoft havi, rendszeres biztonsági frissítési napja) szokatlanul nagy. Az összesítések ugyanakkor nem ugyanazt a számot adják: az egyik számítás 1235 javított hibát, egy másik 1093 CVE-t tart nyilván. Az eltérés az alkalmazott számolási módszerből ered, ezért a biztos közös pont az, hogy a Microsoft november 10-én több mint ezer biztonsági hibához adott ki javítást.
A csomag Windows-, Office- és számos más Microsoft-összetevőt érint, de az Outlook CVE-2026-124194 most különösen fontos, mert nem csak elméleti lehetőségről van szó. A Windows és az Office biztonsági frissítéseit ezért érdemes ellenőrizni és telepíteni, különösen olyan gépeken, amelyeken Outlookot használnak.
