A Patch Tuesday de novembro de 2026 trouxe uma das maiores rodadas de correções de segurança da Microsoft, com mais de 1.259 vulnerabilidades contabilizadas em produtos da empresa e componentes de terceiros. Entre os problemas corrigidos, um merece atenção especial: a falha CVE-2026-124194 no Microsoft Outlook, explorada ativamente por criminosos para capturar hashes de autenticação NTLMv2 de usuários.
O alerta é particularmente importante para empresas que utilizam o Outlook em ambientes Windows corporativos. A vulnerabilidade permite que um arquivo de mensagem especialmente preparado provoque uma tentativa de autenticação contra um servidor controlado pelo invasor, expondo informações que podem ser utilizadas em outras etapas de um ataque.
A situação se tornou ainda mais urgente após a CISA incluir a vulnerabilidade em seu catálogo de falhas exploradas ativamente (KEV). Neste artigo, analisamos o funcionamento do problema, os riscos associados ao roubo de hashes NTLMv2, o alcance das atualizações de novembro e as medidas que administradores de sistemas devem adotar para proteger suas infraestruturas.
Falha no Microsoft Outlook permite roubo de hashes NTLMv2
Identificada como CVE-2026-124194, a vulnerabilidade afeta o Microsoft Outlook e está relacionada a uma falha de falsificação (spoofing). O problema ocorre porque o aplicativo não apresenta um aviso adequado antes de estabelecer determinadas conexões com recursos externos.
Na prática, um invasor pode preparar um arquivo de mensagem malicioso e enviá-lo à vítima. Quando o usuário abre esse arquivo em uma versão vulnerável do Outlook, o aplicativo pode iniciar uma conexão com um servidor controlado pelo atacante sem apresentar o alerta esperado.
Durante essa comunicação, o Outlook pode transmitir o hash de autenticação NTLMv2 associado à conta do usuário.
O aspecto preocupante é que o ataque não depende necessariamente da execução de um programa malicioso tradicional. A interação com um arquivo de mensagem especialmente elaborado pode ser suficiente para iniciar o processo de exposição das informações de autenticação.
Entretanto, existe uma distinção importante: o Painel de Visualização do Outlook não é considerado um vetor de exploração dessa vulnerabilidade. O usuário precisa abrir efetivamente o arquivo preparado pelo invasor.
A Microsoft classificou o problema como de gravidade moderada, atribuindo pontuação CVSS 6.5. Apesar disso, a confirmação de exploração ativa aumenta consideravelmente sua prioridade para equipes de segurança.
CISA alerta para exploração ativa e exposição de credenciais
O NTLMv2 é um protocolo de autenticação utilizado em ambientes Windows, especialmente em infraestruturas corporativas que dependem de serviços internos, compartilhamentos de arquivos e outros recursos de rede.
Embora o hash capturado não seja a senha original em texto puro, sua exposição representa um risco relevante. Dependendo das condições do ambiente, criminosos podem tentar quebrar a proteção criptográfica ou utilizar técnicas de retransmissão de autenticação, conhecidas como NTLM relay.
Caso obtenham sucesso, os invasores podem tentar acessar recursos internos utilizando a identidade da vítima. O impacto depende das permissões associadas à conta comprometida e das proteções existentes na infraestrutura.
A gravidade do cenário foi reforçada em 10 de novembro de 2026, quando a CISA adicionou a CVE-2026-124194 ao catálogo Known Exploited Vulnerabilities (KEV). A inclusão confirma que a agência reconhece evidências de exploração da falha em ataques reais.
Para as agências federais dos Estados Unidos abrangidas pela diretriz, o prazo estabelecido para aplicação da correção é 24 de novembro de 2026. Empresas privadas não estão automaticamente sujeitas à mesma obrigação, mas devem considerar o alerta um indicador importante de risco.
Até o momento, as informações públicas não permitem estabelecer com precisão a identidade dos responsáveis pelos ataques ou a quantidade de organizações afetadas.
Patch Tuesday de novembro de 2026 corrige mais de 1.259 vulnerabilidades
A falha no Outlook integra uma rodada abrangente de atualizações de segurança. No levantamento divulgado para novembro, foram contabilizados 1.259 registros de vulnerabilidades, incluindo falhas associadas aos produtos Microsoft e identificadores de terceiros republicados no conjunto de informações de segurança.
A composição desse total merece atenção: são 1.094 CVEs associados aos produtos Microsoft e outros 165 identificadores de vulnerabilidades de terceiros. Portanto, não se deve interpretar os 1.259 registros como 1.259 falhas inéditas desenvolvidas exclusivamente nos produtos da empresa.
Entre os principais componentes e famílias de produtos contemplados estão:
- Windows: 726 vulnerabilidades.
- Microsoft Office: 174 vulnerabilidades.
- SQL Server: 59 vulnerabilidades.
- Ferramentas de desenvolvimento: 53 vulnerabilidades.
- SharePoint Server: 27 vulnerabilidades.
- Azure: 20 vulnerabilidades.
- Exchange Server: 9 vulnerabilidades.
O levantamento também aponta uma concentração expressiva de falhas de elevação de privilégios, além de vulnerabilidades de execução remota de código (RCE) e divulgação de informações.
As falhas de elevação de privilégios são particularmente relevantes em ambientes corporativos porque podem permitir que um invasor amplie seu nível de acesso depois de comprometer uma conta ou dispositivo.
Já as vulnerabilidades de execução remota de código podem abrir caminho para a execução de instruções maliciosas em sistemas vulneráveis, dependendo das condições de exploração.
Esse cenário reforça a necessidade de tratar o gerenciamento de atualizações como parte permanente da estratégia de segurança, em vez de uma atividade realizada apenas quando surgem alertas críticos.
Versões do Outlook que precisam receber a atualização
Para corrigir a CVE-2026-124194, administradores devem verificar as versões do Office instaladas e confirmar se os dispositivos receberam os builds de segurança correspondentes.
Entre as versões contempladas estão:
- Microsoft 365 Apps for Enterprise;
- Office LTSC 2021;
- Office LTSC 2024.
Para as edições LTSC, os builds corrigidos incluem:
- Office LTSC 2021: 16.0.14334.21048;
- Office LTSC 2024: 16.0.17932.21140.
No Microsoft 365 Apps, é necessário conferir o canal de atualização e os builds disponibilizados para novembro, pois a distribuição pode variar conforme a configuração da organização.
Também é importante destacar que atualizar somente o Windows não garante a correção da falha no Outlook. Como o problema está relacionado ao componente Office, a equipe de TI precisa verificar especificamente a atualização do aplicativo.
Como administradores devem priorizar as atualizações de novembro
Diante do volume de correções e da exploração ativa da falha no Outlook, a implantação dos patches precisa seguir uma estratégia baseada em risco.
A primeira medida deve ser atualizar imediatamente as instalações vulneráveis do Microsoft Outlook e Office. Em seguida, as equipes devem ampliar a implantação para os demais produtos contemplados pela Patch Tuesday, priorizando sistemas expostos à rede e ativos com permissões elevadas.
Também é recomendável:
- Restringir conexões NTLM de saída, sempre que a compatibilidade da infraestrutura permitir.
- Bloquear conexões SMB externas pela porta TCP 445 no perímetro da rede, quando não forem necessárias.
- Monitorar tentativas suspeitas de autenticação, especialmente conexões com destinos externos desconhecidos.
- Investigar possíveis exposições de credenciais em dispositivos que abriram arquivos de mensagem suspeitos.
- Revisar permissões de contas corporativas, reduzindo privilégios desnecessários.
- Aplicar as demais correções de novembro, incluindo atualizações para Windows, SQL Server, SharePoint, Exchange e ferramentas de desenvolvimento.
Se houver indícios de exposição de hashes NTLMv2, a equipe de segurança deve avaliar a necessidade de redefinir as credenciais envolvidas e investigar possíveis tentativas de acesso indevido.
Conclusão: exploração ativa torna a atualização do Outlook urgente
A Patch Tuesday de novembro de 2026 demonstra a dimensão dos desafios enfrentados por administradores de sistemas que precisam manter ambientes corporativos protegidos. Com mais de 1.259 vulnerabilidades contabilizadas, a rodada exige planejamento e implantação cuidadosa.
Entretanto, a CVE-2026-124194 merece prioridade imediata. A possibilidade de capturar hashes NTLMv2 por meio de arquivos de mensagem maliciosos, combinada com a confirmação de exploração ativa e a inclusão no catálogo KEV da CISA, transforma a correção em uma medida urgente.
Organizações que utilizam Outlook devem verificar os builds instalados, aplicar as atualizações correspondentes e revisar suas políticas de autenticação NTLM. Adiar essas medidas pode deixar credenciais corporativas expostas e facilitar ataques contra outros recursos da rede.
Atualize seus sistemas, revise as configurações de autenticação e compartilhe este alerta com os profissionais responsáveis pela infraestrutura de TI. Em um cenário de exploração ativa, corrigir rapidamente as vulnerabilidades é uma das medidas mais importantes para reduzir a superfície de ataque.
