Microsoft corrige zero-day no Outlook que vaza hashes NTLM

A Microsoft publicou na terça-feira (10) o pacote de segurança de novembro com uma única falha já explorada por atacantes: a CVE-2026-124194, um bug de falsificação (spoofing) no Outlook que entrega ao invasor o hash NTLM da conta da vítima. A própria Microsoft classifica a falha como "Moderada", e é justamente essa nota que os pesquisadores pedem que as equipes de segurança ignorem.

Segundo a análise da Rapid7, basta abrir um arquivo de mensagem preparado pelo atacante para que o Outlook se conecte silenciosamente a um servidor controlado por ele e revele o hash NTLMv2 do usuário. Dustin Childs, da Zero Day Initiative, descreve o mesmo comportamento e destaca um detalhe operacional: a conexão acontece sem o aviso de conteúdo externo que normalmente alerta o usuário. Para Childs, rebaixar a prioridade do patch por causa da nota baixa é um erro.

Por que um hash vale mais que a nota sugere

Um hash NTLMv2 não é uma senha, mas funciona como chave em ambientes Windows que ainda aceitam o protocolo. Com ele, o atacante pode tentar quebrar a senha offline ou retransmitir a autenticação para outros serviços da rede, a técnica conhecida como relay. A Rapid7 afirma que a pontuação oficial subestima o valor da falha tanto para criminosos comuns quanto para operações direcionadas.

O padrão tem histórico. A CVE-2023-23397, outra falha do Outlook que vazava credenciais NTLM, foi explorada como zero-day desde pelo menos abril de 2022, quase um ano antes do patch. A diferença agora é que a vítima precisa abrir o arquivo; em 2023 bastava receber a mensagem. A exigência de interação reduz o alcance de um ataque em massa, mas pesa pouco numa campanha direcionada a poucas caixas de correio de executivos.

O volume que pressiona as equipes de patch

O tamanho do pacote em si virou notícia. A Tenable contabiliza 1.093 vulnerabilidades corrigidas, 63 delas classificadas como críticas. O BleepingComputer chega a 1.235 falhas, número que, segundo a publicação, segue outra metodologia de contagem. Outros levantamentos ficam em 1.094. Por qualquer das réguas, é um volume que nenhuma equipe de patch consegue testar item a item antes de aplicar.

Entre as críticas, três pedem atenção imediata de quem administra infraestrutura. A CVE-2026-119952 permite execução remota de código no Schannel, o componente do Windows que implementa TLS, e recebeu nota CVSS 8,1 segundo a Cisco Talos, com complexidade de ataque alta. No guia de atualizações da Microsoft, a falha aparece com severidade máxima Crítica, rótulo que a Tenable também usa em sua lista de prioridades. A Zero Day Initiative classifica como zero-click outras duas: a CVE-2026-116928, no Windows Search, e a CVE-2026-119958, no LDAP do Windows. Falhas zero-click dispensam qualquer ação do usuário, o que as torna candidatas naturais a exploração em massa assim que surgir uma prova de conceito pública.

Até o fechamento desta matéria, as análises consultadas não apontavam exploração ativa das falhas críticas, apenas da CVE-2026-124194 no Outlook.

Onde o risco cai na operação

A ordem de prioridade que se repete nas análises de Rapid7, Tenable e Splashtop é a mesma: Outlook primeiro, controladores de domínio e servidores de autenticação em seguida. A Splashtop recomenda aplicar as correções de Active Directory e Schannel em até 72 horas nos servidores que autenticam usuários.

O peso desse calendário não se distribui por igual. Nos Estados Unidos e na Europa, boa parte das grandes empresas terceiriza a janela de patch para provedores de serviços gerenciados, muitos deles com centros de entrega na Índia, que operam com janelas de atualização definidas por contrato. Um zero-day rotulado como "Moderado" corre o risco de cair na fila comum dessas esteiras, a menos que o cliente reclassifique a falha manualmente. No Brasil, onde bancos e seguradoras operam sob as regras de segurança cibernética do Banco Central e da Susep, a exigência de tratar vulnerabilidades exploradas com prioridade dá ao CISO base formal para acelerar o patch, mas a mesma dependência de fornecedores externos se repete.

O ponto comum entre esses mercados é contratual, não técnico. Contratos de serviços gerenciados que vinculam o prazo de correção à severidade declarada pelo fabricante deixam uma brecha toda vez que a Microsoft atribui nota baixa a uma falha já explorada. O pacote de novembro é um bom teste para descobrir se os acordos firmados pela empresa usam como gatilho a exploração ativa ou apenas o rótulo do fabricante.