Microsoft corregge una falla di Outlook usata per rubare le credenziali di Windows

Con l'aggiornamento di sicurezza di novembre, pubblicato il 10 novembre, Microsoft corregge una falla di Outlook che gli aggressori sfruttavano già prima della patch. Un file di messaggio manipolato spinge Outlook a collegarsi di nascosto a un server dell'aggressore, e Windows gli consegna intanto l'hash NTLMv2 dell'account dell'utente. Chi usa Outlook dovrebbe installare subito l'aggiornamento di Office. In tutto la release chiude 1.093 vulnerabilità, secondo Tenable, o 1.235 se si contano, come fa BleepingComputer, le correzioni del browser Edge.

Come funziona l'attacco tramite Outlook

Microsoft classifica CVE-2026-124194 come falla di spoofing e le assegna gravità moderata, con un punteggio CVSS di 6,5. All'aggressore non serve un account: invia un file di messaggio preparato ad arte. Quando la vittima lo apre, Outlook si collega a un percorso di rete controllato dall'aggressore senza mostrare il consueto avviso sui contenuti esterni. Windows può allora tentare di autenticarsi automaticamente su quel server e inviare l'hash NTLMv2 dell'utente.

L'aggressore può provare a decifrare l'hash offline per risalire alla password, oppure usarlo per spacciarsi per l'utente in attacchi successivi. Serve però che la vittima apra il file e sia connessa alla rete. Secondo Microsoft il riquadro di lettura non è un vettore di attacco, quindi scorrere l'elenco dei messaggi non basta.

Microsoft conferma che la falla è stata usata in attacchi reali, ma non dice chi ci sia dietro, chi sia stato colpito né su quale scala. BleepingComputer ricorda che falle simili di Outlook erano già state sfruttate, di solito con email di phishing e allegati malevoli. Secondo Tenable, il bollettino ringrazia un ricercatore che ha trovato il bug con l'aiuto del modello Claude di Anthropic.

Chi deve aggiornare

Sono interessate le versioni a 32 e 64 bit di Office LTSC 2021, Office LTSC 2024 e Microsoft 365 Apps for Enterprise. La correzione arriva con gli aggiornamenti di Office. Se Windows Update non è impostato per installare gli aggiornamenti di altri prodotti Microsoft, controllate Office a parte: in Outlook aprite «File», poi «Account di Office», «Opzioni di aggiornamento» e scegliete «Aggiorna ora».

Le aziende hanno anche altre priorità. Tenable segnala falle critiche di esecuzione di codice remoto nei Servizi di dominio Active Directory e in Exchange Server, entrambe con 8,8 punti e l'indicazione «sfruttamento più probabile», oltre a una falla in Schannel, il componente di Windows che gestisce le connessioni cifrate, sfruttabile senza autenticazione e valutata 8,1. Un bug di elevazione dei privilegi in SharePoint Server arriva a 9,9 punti ma ha solo gravità «importante».

Da dove vengono questi numeri

Il totale dipende da chi conta. Tenable e Cyber Security News contano 1.093 vulnerabilità pubblicate nel Patch Tuesday. BleepingComputer aggiunge 142 voci di Edge e arriva a 1.235. Esclude altre 108 correzioni pubblicate da Microsoft all'inizio di novembre, soprattutto per Mariner, la sua distribuzione Linux, e per Edge. Circa metà delle falle riguarda l'elevazione dei privilegi: danno più controllo a un aggressore che è già sul computer.

BleepingComputer definisce da record la release di novembre, anche se secondo il suo stesso conteggio ottobre era più corposo, con 1.411 falle. In ogni caso, i rilasci mensili ormai si contano a migliaia. A inizio anno erano molto più piccoli: 54 correzioni a febbraio e 163 ad aprile, secondo Tenable. BleepingComputer collega l'aumento all'uso dell'IA da parte di Microsoft per trovare e correggere le vulnerabilità.

Agli utenti privati bastano due cose: installare gli aggiornamenti di Windows e di Office, e non aprire file di messaggio o allegati inattesi, anche se sembrano arrivare da un conoscente.