微软确认黑客利用Outlook 0Day漏洞，窃取Windows身份验证哈希

微软已证实，黑客正利用一个Outlook 0Day漏洞发起攻击。用户打开恶意文件时，该漏洞可导致Windows身份验证信息泄露。

该漏洞编号为CVE-2026-124194，属于欺骗类漏洞，微软已于2026年11月10日发布补丁。微软将其标记为“已检测到在野利用”，并表示在补丁发布前，该漏洞未被公开披露。

该漏洞CVSS评分为6.5，严重等级为中危。但由于已出现真实攻击，用户需将其列为优先修复项。微软的可利用性指数明确，“已检测到在野利用”代表公司已掌握实际在野攻击案例，而非仅停留在“攻击者可开发出有效利用代码”的风险层面。

漏洞触发需用户交互，成功利用可泄露NTLMv2哈希

攻击者无需获取目标系统账号，也不需要预先访问目标系统，只需发送特制的消息文件，诱导收件人在受影响版本的Outlook中打开即可。成功利用需要同时满足两个条件：用户执行打开操作、设备处于联网状态。

用户打开恶意文件时，Outlook会直接连接攻击者控制的网络位置，不会弹出常规的外部内容安全警告。微软将该漏洞的根本缺陷归类为CWE-356，即产品界面未就高风险操作向用户发出提示，缺失的警告让用户失去了阻止恶意连接的关键防线。

微软明确指出，预览窗格不属于攻击向量。仅在预览窗格查看消息，不满足漏洞利用的触发条件。这一特征将本次漏洞与此前俄罗斯黑客利用的Outlook漏洞区分开来——Cybersecuritynews.com曾报道过那波攻击，当时涉及的是另一类无需用户操作即可触发的漏洞。

根据微软安全公告，成功利用该漏洞会泄露用户的NTLMv2哈希，攻击者可能借此冒用用户身份完成身份验证。需要明确的是，该漏洞仅能窃取身份验证数据，无法直接在目标设备上运行恶意代码。微软将该漏洞的机密性影响评为高危，对完整性、可用性无直接影响。

NTLM信息泄露可被用于后续攻击，具体攻击效果取决于接收服务的防护配置。微软此前的Outlook安全研究显示，攻击者获取Net-NTLMv2数据后，通常可开展身份验证中继、离线密码破解等后续操作。

Cybersecuritynews.com此前曾报道，攻击者曾利用被入侵的Ubiquiti路由器，通过外部基础设施窃取用户凭证。但这些历史攻击活动与本次新攻击的归因无关，不能据此判定本次攻击的发起者。

多版本Office受影响，需及时部署安全补丁

受影响产品涵盖32位和64位版本的Microsoft 365企业版应用、Office LTSC 2021、Office LTSC 2024。微软公布的对应修复版本为：Office LTSC 2021对应16.0.14334.21048，Office LTSC 2024对应16.0.17932.21140。管理员需尽快为环境内的受影响产品部署对应安全更新。

作为额外防护措施，微软建议阻止TCP 445端口发往互联网的非必要出站SMB流量。该措施可降低设备暴露在外部SMB攻击面下的风险，但不能替代安装Outlook漏洞补丁。

Microsoft Confirms Hackers Are Exploiting Outlook 0-Day to Steal Windows Authentication Hashes