Outlook 開啟惡意郵件檔會略過外部內容警告並外洩 NTLMv2 雜湊，零時差漏洞 CVE-2026-124194 已遭利用並列入 KEV

微軟 11 月例行更新修補 Outlook 欺騙漏洞 CVE-2026-124194：攻擊者寄出特製郵件檔並誘使使用者開啟，Outlook 會在不顯示外部內容警告的情況下連線至攻擊者控制的位置，洩漏可用來冒充使用者的 NTLMv2 雜湊 ^[1][2]。微軟表示已知此漏洞遭實際利用，但未說明攻擊細節，CISA 也於 11 月 10 日將其列入已知遭利用漏洞目錄 ^[1][3]。使用 Microsoft 365 Apps for Enterprise、Office LTSC 2021 或 Office LTSC 2024 的組織應立即安裝 11 月安全更新，並提醒使用者不要開啟來路不明的郵件檔 ^[1][2]。

使用 Microsoft 365 Apps for Enterprise、Office LTSC 2021 與 Office LTSC 2024 中 Outlook 的組織與使用者 ^[1]

1. 立即安裝微軟 2026 年 11 月安全更新，修補 Outlook 的 CVE-2026-124194 ^[1][2]。
2. 提醒使用者不要開啟來路不明的郵件檔；此漏洞需使用者開啟檔案才會觸發，無法經由預覽窗格觸發 。