Microsoft a lansat pe 10 noiembrie actualizările lunare de securitate, iar printre problemele reparate se află o vulnerabilitate Outlook deja folosită în atacuri. Identificată drept CVE-2026-124194, aceasta permite expunerea datelor de autentificare prin deschiderea unui fișier de mesaj pregătit special. Un detaliu interesant apare în lista celor creditați pentru raportare: alături de cercetătorul „nono” este menționat Benoit Sevens, care a folosit Claude, asistentul AI dezvoltat de Anthropic, în procesul de descoperire.
Atacul presupune convingerea victimei să deschidă fișierul în Outlook. Aplicația se conectează apoi la un server controlat de atacator, fără avertismentul obișnuit privind conținutul extern, și poate transmite informații de autentificare NTLMv2. Acestea pot fi folosite ulterior în tentative de compromitere a contului. Simpla previzualizare în panoul de lectură nu declanșează vulnerabilitatea. Microsoft o încadrează la categoria „spoofing”, cu severitate moderată și un scor CVSS de 6,5, însă existența atacurilor o face o prioritate la actualizare.
Sunt afectate Microsoft 365 Apps for Enterprise, Office LTSC 2021 și Office LTSC 2024. Remedierea face parte dintr-un pachet neobișnuit de mare: bilanțul publicat de KrebsOnSecurity indică 1.093 de vulnerabilități reparate în noiembrie, dintre care 63 critice. Publicația notează că Microsoft atribuie creșterea numărului de probleme identificate progreselor AI, care ajută atât la găsirea, cât și la corectarea lor. În urmă cu aproximativ un an, ritmul era de circa 100 de remedieri pe lună.
Pentru cei care folosesc Outlook în România, actualizarea poate fi pornită din meniul Fișier → Cont Office → Opțiuni actualizare → Actualizați acum. Aceeași verificare poate fi făcută și din Word, prin Fișier → Cont. Pe calculatoarele administrate de o firmă, distribuirea actualizărilor poate fi controlată de departamentul IT. Microsoft explică pașii și în documentația sa în limba română.
Versiunile care includ remedierea sunt 16.0.17932.21140 pentru Office LTSC 2024 și 16.0.14334.21048 pentru Office LTSC 2021. Ambele apar în catalogul Microsoft cu data de 10 noiembrie 2026. Până la instalarea actualizării, evitați deschiderea fișierelor de mesaj primite pe neașteptate, inclusiv atunci când numele expeditorului pare cunoscut.
