Imagine receber um arquivo por email, abrir normalmente no Outlook e, sem perceber, permitir que informações de autenticação do seu Windows sejam enviadas para um servidor controlado por criminosos.
Sem instalar programas. Sem executar um aplicativo suspeito. E sem aquele aviso de segurança que poderia fazer você pensar duas vezes.
Parece exagero? Pois é justamente o cenário envolvendo uma vulnerabilidade que, segundo a Microsoft, já está sendo explorada por invasores.
A falha, identificada como CVE-2026-124194, recebeu uma correção em 10 de novembro de 2026 e afeta determinadas versões do Microsoft Outlook.
Embora tenha recebido uma classificação de gravidade moderada, existe um detalhe que muda bastante a conversa: a Microsoft confirmou que ataques reais já estão acontecendo.
Como funciona a falha de segurança no Outlook?
O problema está relacionado à maneira como o Outlook lida com determinados arquivos de mensagem especialmente preparados por invasores.
O criminoso pode enviar um arquivo malicioso e tentar convencer a vítima a abri-lo em uma versão vulnerável do aplicativo.
Quando isso acontece, o Outlook pode estabelecer uma conexão com um endereço de rede controlado pelo atacante sem apresentar o aviso habitual sobre conteúdo externo.
E aqui está o problema. Essa conexão pode expor informações utilizadas pelo Windows para autenticar o usuário.
A vulnerabilidade não permite, por si só, executar programas maliciosos no computador. Seu principal risco é o vazamento de dados de autenticação que podem ser aproveitados em ataques posteriores.
Outro ponto importante: apenas visualizar uma mensagem no painel de leitura do Outlook não é suficiente para explorar essa falha, conforme a documentação da Microsoft. É necessário abrir o arquivo malicioso e existir conectividade de rede.
O que os hackers conseguem roubar?
Segundo a Microsoft, a exploração bem-sucedida pode revelar um hash NTLMv2, informação relacionada ao processo de autenticação do Windows.
Calma, não estamos falando necessariamente da sua senha aparecendo em texto puro.
Um hash é um valor calculado por um mecanismo de segurança e pode ser utilizado em determinados processos de autenticação.
O problema é que, dependendo das proteções existentes, criminosos podem tentar aproveitar informações desse tipo para se passar pelo usuário ou realizar novos ataques.
Em outras palavras, o risco não está apenas no arquivo aberto, mas no que pode acontecer depois.
A Microsoft classificou o impacto sobre a confidencialidade como alto, embora não tenha identificado impacto direto sobre a integridade ou disponibilidade dos sistemas.
Quais versões do Outlook estão vulneráveis?
A vulnerabilidade afeta produtos como Microsoft 365 Apps for Enterprise e Office LTSC 2021 e 2024, tanto em versões de 32 quanto de 64 bits.
Para o Office LTSC 2021, a versão corrigida indicada é 16.0.14334.21048. No Office LTSC 2024, a correção está disponível a partir da versão 16.0.17932.21140.
Já no Microsoft 365 Apps for Enterprise, a atualização aplicável depende do canal de distribuição utilizado pela organização.
Por isso, empresas devem verificar se as atualizações de segurança de novembro de 2026 foram instaladas corretamente.
Como se proteger dessa vulnerabilidade?
A principal recomendação é atualizar o Office e o Outlook com as correções disponibilizadas pela Microsoft.
Também é importante evitar abrir arquivos de mensagem recebidos de fontes desconhecidas ou inesperadas, especialmente quando o remetente tenta criar urgência para que você execute alguma ação.
Para ambientes corporativos, a Microsoft recomenda ainda restringir conexões SMB desnecessárias para a internet, especialmente pela porta TCP 445.
Essa medida pode reduzir a exposição de informações de autenticação, mas não substitui a atualização do software.
Administradores também devem verificar as versões instaladas nos computadores da empresa e acompanhar as orientações oficiais de segurança.
O que essa descoberta nos ensina?
O caso mostra que nem sempre um ataque depende de um vírus tradicional ou de alguém instalar um programa desconhecido.
Às vezes, basta explorar o comportamento de um aplicativo legítimo em uma situação que parece perfeitamente normal.
E convenhamos: abrir arquivos recebidos por email faz parte da rotina de milhões de pessoas.
A diferença entre uma atividade cotidiana e um incidente de segurança pode estar em uma atualização que ainda não foi instalada.
Entretanto caros leitores(a) a Microsoft já disponibilizou a correção. Agora, o importante é garantir que ela realmente chegue aos computadores.
Porque uma coisa é existir uma atualização de segurança. Outra, bem diferente, é estar protegido.
