Microsoft corrige falha do Outlook usada para roubar credenciais do Windows

Com a atualização de segurança de novembro, publicada a 10 de novembro, a Microsoft corrige uma falha do Outlook que os atacantes já exploravam antes do patch. Um ficheiro de mensagem manipulado leva o Outlook a ligar-se discretamente a um servidor do atacante, e o Windows entrega-lhe pelo caminho o hash NTLMv2 da conta do utilizador. Quem usa o Outlook deve instalar já a atualização do Office. No total, a publicação fecha 1.093 vulnerabilidades, segundo a Tenable, ou 1.235 se se contarem, como faz o BleepingComputer, as correções do navegador Edge.

Como funciona o ataque pelo Outlook

A Microsoft classifica a CVE-2026-124194 como falha de falsificação e atribui-lhe gravidade moderada, com pontuação CVSS de 6,5. O atacante não precisa de conta: envia um ficheiro de mensagem preparado de propósito. Quando a vítima o abre, o Outlook liga-se a uma localização de rede controlada pelo atacante sem mostrar o habitual aviso sobre conteúdo externo. O Windows pode então tentar autenticar-se automaticamente nesse servidor e enviar o hash NTLMv2 do utilizador.

O atacante pode tentar decifrar esse hash offline para obter a palavra-passe, ou usá-lo para se fazer passar pelo utilizador em ataques seguintes. Para isso, a vítima tem de abrir o ficheiro e estar ligada à rede. Segundo a Microsoft, o painel de pré-visualização não é um vetor de ataque, por isso ver a lista de mensagens não basta.

A Microsoft confirma que a falha foi usada em ataques reais, mas não diz quem está por trás, quem foi visado nem em que escala. O BleepingComputer lembra que falhas semelhantes do Outlook já foram exploradas antes, normalmente através de emails de phishing com anexos maliciosos. Segundo a Tenable, o boletim agradece a um investigador que encontrou o erro com a ajuda do modelo Claude, da Anthropic.

Quem precisa de atualizar

Estão afetadas as versões de 32 e 64 bits do Office LTSC 2021, do Office LTSC 2024 e do Microsoft 365 Apps for Enterprise. A correção chega pelas atualizações do Office. Se o Windows Update não estiver configurado para instalar atualizações de outros produtos Microsoft, verifique o Office à parte: no Outlook, abra «Ficheiro», depois «Conta do Office», «Opções de Atualização» e escolha «Atualizar Agora».

As empresas têm outras prioridades. A Tenable destaca falhas críticas de execução remota de código nos Serviços de Domínio do Active Directory e no Exchange Server, ambas com 8,8 pontos e a indicação «exploração mais provável», além de uma falha no Schannel, o componente do Windows que trata as ligações cifradas, explorável sem autenticação e com 8,1 pontos. Um erro de elevação de privilégios no SharePoint Server chega aos 9,9 pontos, mas tem apenas gravidade «importante».

De onde vêm estes números

O total depende de quem conta. A Tenable e o Cyber Security News contam 1.093 vulnerabilidades publicadas na Patch Tuesday. O BleepingComputer junta 142 entradas do Edge e chega a 1.235. Deixa de fora outras 108 correções que a Microsoft publicou mais cedo em novembro, sobretudo para o Mariner, a sua distribuição Linux, e para o Edge. Cerca de metade das falhas é de elevação de privilégios: dão mais controlo a um atacante que já está no computador.

O BleepingComputer chama recorde à publicação de novembro, embora, pela sua própria contagem, outubro tenha sido maior, com 1.411 falhas. Seja como for, as publicações mensais já se contam aos milhares. No início do ano eram muito menores: 54 correções em fevereiro e 163 em abril, segundo a Tenable. O BleepingComputer liga o aumento ao uso de IA pela Microsoft para encontrar e corrigir vulnerabilidades.

Para os utilizadores domésticos bastam duas coisas: instalar as atualizações do Windows e do Office, e não abrir ficheiros de mensagem nem anexos inesperados, mesmo que pareçam vir de um conhecido.