A CISA adicionou a CVE-2026-124194 ao catálogo de vulnerabilidades exploradas, e a Microsoft confirmou a correção para o Microsoft Outlook. A falha é classificada como spoofing e ocorre porque a interface do produto não alerta adequadamente o usuário antes de uma ação potencialmente insegura.
O problema recebeu CVSS 3.1 de 6,5, gravidade média. Mesmo com essa pontuação, a exploração ativa registrada pela CISA exige prioridade em ambientes corporativos. A falha pode levar o usuário a confiar em uma ação ou conteúdo apresentado como legítimo, com impacto potencial sobre a confidencialidade das informações.
O que é a CVE-2026-124194
O registro oficial descreve uma falha de spoofing no Microsoft Office Outlook. O produto não apresenta um aviso adequado quando o usuário está prestes a realizar uma ação potencialmente insegura. Um atacante não autorizado pode explorar esse comportamento pela rede.
A vulnerabilidade está associada à CWE-356, que trata de interfaces que não alertam o usuário sobre ações inseguras. O vetor CVSS indica que o ataque pode ocorrer pela rede, sem privilégios, mas requer interação do usuário. A exploração não é descrita pelas fontes como execução remota de código.
A CISA incluiu a CVE no catálogo KEV em 10 de novembro de 2026 com base em evidência de exploração ativa. O prazo indicado no feed consultado é 24 de novembro de 2026.
Produtos afetados
| Produto | Plataforma | Faixa afetada registrada |
|---|---|---|
| Microsoft 365 Apps for Enterprise | 32 bits e x64 | Versões 16.0.1 anteriores às atualizações oficiais do Microsoft 365 Apps |
| Microsoft Office LTSC 2021 | 32 bits e x64 | Anterior à versão 16.0.14334.21048 |
| Microsoft Office LTSC 2024 | 32 bits e x64 | Anterior à versão 16.0.17932.21140 |
O registro CVE aponta o Microsoft Security Update Guide como referência do fornecedor. Para Microsoft 365 Apps, use o canal de atualização corporativo adotado pela organização. Para as edições LTSC, aplique os pacotes oficiais correspondentes e confirme a build instalada após a atualização.
Por que a exploração merece atenção
Falhas de spoofing exploram a confiança do usuário. Uma mensagem, janela ou ação que não recebe o aviso esperado pode ser interpretada como segura, mesmo quando foi preparada por um atacante. Em ambientes corporativos, isso pode facilitar o acesso a informações sensíveis, o redirecionamento para conteúdo malicioso ou a confirmação de uma ação que o usuário não pretendia executar.
A exigência de interação não torna o risco irrelevante. Campanhas de phishing e engenharia social já são desenhadas para induzir cliques, confirmações e abertura de conteúdo. Quando a CISA confirma exploração ativa, a organização deve tratar a falha como prioridade operacional, mesmo que o CVSS seja inferior ao de uma falha de execução de código.
As fontes consultadas confirmam exploração ativa pela inclusão no KEV. Elas não detalham publicamente uma campanha específica nem autorizam afirmar que todos os usuários ou organizações estejam comprometidos.
Recomendações práticas
Atualize o Outlook e o Office. Distribua as correções do Microsoft 365 Apps ou os pacotes para Office LTSC indicados no Security Update Guide. Não considere o endpoint corrigido apenas porque o Windows Update está em dia: confirme a versão do Office e o canal de atualização utilizado.
Verifique as builds. Faça um inventário dos endpoints 32-bit e x64, incluindo máquinas remotas, notebooks fora da VPN, servidores de sessão e imagens de VDI. Compare as versões instaladas com as builds corrigidas publicadas pela Microsoft.
Priorize endpoints expostos a e-mail externo. Máquinas de executivos, equipes financeiras, suporte, compras e usuários que recebem mensagens de remetentes desconhecidos devem entrar na primeira onda de atualização e verificação.
Reforce a verificação independente. Oriente os usuários a confirmar remetentes, domínios, links e solicitações financeiras por um canal separado. A ausência de um alerta no Outlook não prova que uma ação seja segura.
Monitore sinais de exploração. Procure mensagens suspeitas, alterações inesperadas em regras de caixa de entrada, redirecionamentos, cliques em links de campanhas conhecidas e acessos incomuns após a interação com conteúdo de e-mail.
Revise o ambiente antes do patch. Como a CVE está no KEV, investigue se houve exploração anterior à atualização. Analise logs do Exchange ou Microsoft 365, telemetria do endpoint, regras criadas no Outlook e autenticações anômalas associadas às contas que interagiram com mensagens suspeitas.
Se houver suspeita de comprometimento
Preserve a mensagem original com seus cabeçalhos, registre o endpoint e a conta envolvida e evite encaminhar o conteúdo suspeito para outros usuários. Revogue sessões quando houver indícios de acesso indevido, redefina credenciais conforme o procedimento da organização e verifique regras de encaminhamento ou delegações criadas recentemente.
Não dependa somente da remoção da mensagem. Uma ação já realizada pode ter produzido efeitos em serviços conectados, como criação de regras, acesso a documentos ou alterações em agendas. Correlacione os eventos do Outlook, do Microsoft 365 e das ferramentas de proteção de endpoint.
Conclusão
A CVE-2026-124194 é uma vulnerabilidade de spoofing no Microsoft Outlook relacionada à falta de aviso sobre uma ação potencialmente insegura. Ela afeta o Microsoft 365 Apps for Enterprise e as edições Office LTSC 2021 e 2024 nas faixas registradas no CVE.org.
A CISA confirmou exploração ativa e incluiu a falha no KEV em 10 de novembro. Organizações devem atualizar o Office, confirmar as builds instaladas, reforçar a validação independente de remetentes e investigar endpoints que tenham interagido com mensagens suspeitas antes da aplicação da correção.
Fontes primárias
Microsoft Security Update Guide: CVE-2026-124194.
CISA: CISA Adds Six Known Exploited Vulnerabilities to Catalog.
CVE.org: CVE-2026-124194 — Microsoft Outlook Spoofing Vulnerability.