微軟 11 月例行更新修補 Outlook 欺騙漏洞 CVE-2026-124194：攻擊者寄出特製郵件檔並誘使使用者開啟，Outlook 會在不顯示外部內容警告的情況下連線至攻擊者控制的位置，洩漏可用來冒充使用者的 NTLMv2 雜湊 [1][2]。微軟表示已知此漏洞遭實際利用，但未說明攻擊細節，CISA 也於 11 月 10 日將其列入已知遭利用漏洞目錄 [1][3]。使用 Microsoft 365 Apps for Enterprise、Office LTSC 2021 或 Office LTSC 2024 的組織應立即安裝 11 月安全更新，並提醒使用者不要開啟來路不明的郵件檔 [1][2]。
Outlook 開啟惡意郵件檔會略過外部內容警告並外洩 NTLMv2 雜湊，零時差漏洞 CVE-2026-124194 已遭利用並列入 KEV
閱讀約 2 分鐘
- 揭露
- 2026年11月10日
- 發布
- 2026年11月11日
- 最後更新
- 2026年11月11日
- CVSS 依據
- 本站評估
- 利用與修補狀態
- 已遭利用KEV已有修補
本頁內容
30 秒摘要
受影響範圍
| 受影響範圍 | 版本 | 修補版本 | |
|---|---|---|---|
| Microsoft Outlook（Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024） | 2026 年 11 月更新前[1] | 2026 年 11 月安全更新 | ✓ 已修補 |
我有用這個產品嗎？
把產品加入你的系統清單，之後有相關通報或重大進展會寄信通知你。
事件時間軸
技術細節
發生什麼
微軟於 2026 年 11 月 10 日發布 11 月例行更新，BleepingComputer 統計共修補 1,235 個漏洞，其中包含一個已遭利用的 Outlook 零時差漏洞 CVE-2026-124194 [2]。微軟說明，未經驗證的攻擊者可寄出特製郵件檔並誘使使用者以受影響版本的 Outlook 開啟，Outlook 會連線到攻擊者控制的網路位置，且不顯示一般的外部內容警告 [1][2]。
影響範圍
此漏洞會把使用者的 NTLMv2 雜湊洩漏給攻擊者，攻擊者可用來以該使用者身分進行驗證；微軟將其評為 moderate、CVSS 6.5，並表示無法經由預覽窗格觸發 [1]。受影響產品包括 Microsoft 365 Apps for Enterprise、Office LTSC 2021 與 Office LTSC 2024 [1]。微軟表示已知遭實際利用，但公告未提供攻擊細節；CISA 於 11 月 10 日將其列入 KEV，要求聯邦機構於 11 月 24 日前修補 [1][3]。
建議措施
修復指引
參考來源
官方 / 一級來源1
- [3]
“Microsoft Office Outlook contains a missing user interaction for potentially unsafe action vulnerability that allows an unauthorized attacker to perform spoofing over a network.”
媒體報導2
- [1]
“This vulnerability discloses a user’s NTLMv2 hash to the attacker who could use this to authenticate as the user.”
- [2]
“Opening the file could cause Outlook to connect to an attacker-controlled network location without displaying the usual external-content warning, potentially disclosing authentication information that could be used to impersonate the user.”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。