Microsoft corrige falha do Outlook que hackers já exploram para roubar login
Brecha é a única do pacote de novembro com ataques confirmados; o Chrome também tem falha explorada e deve ser atualizado.
Resumo
- A Microsoft liberou na terça (10) as correções de novembro, com uma falha do Outlook já usada em ataques.
- Abrir um arquivo de mensagem preparado pelo golpista pode entregar a ele um dado de login do usuário.
- Atualize o Office, o Windows e o navegador: o Chrome também tem uma brecha em exploração.
Quem usa o Outlook instalado no computador precisa atualizar o Office agora. A Microsoft publicou na terça-feira (10) o pacote mensal de correções de segurança, e uma das brechas fechadas, no programa de e-mail, já estava sendo usada por criminosos. É a única falha do lote de novembro que a própria empresa marca como explorada em ataques reais.
A brecha recebeu o código CVE-2026-124194. No mesmo dia, a agência de cibersegurança do governo dos Estados Unidos (Cisa) a incluiu no catálogo de vulnerabilidades exploradas e deu aos órgãos federais americanos até 24 de novembro para instalar a correção.
Como funciona o ataque
Pela descrição técnica da Microsoft, o golpista monta um arquivo de mensagem do Outlook e convence a vítima a abri-lo. Ao fazer isso, o programa se conecta a um servidor controlado pelo criminoso sem exibir o aviso que normalmente aparece antes de carregar conteúdo de fora.
Nessa conexão, o computador entrega um código derivado da senha do usuário no Windows, o chamado hash NTLMv2. Com esse código, o invasor pode se autenticar como se fosse o usuário em outros serviços da rede. Por isso a empresa classifica a falha como de “falsificação” (spoofing): o risco é alguém se passar pela vítima.
Dois detalhes ajudam a medir o perigo. O primeiro é que o ataque depende de a pessoa abrir o arquivo; a Microsoft informa que o painel de visualização, aquele que mostra o e-mail sem abrir, não serve de porta de entrada. O segundo é que a nota de gravidade é moderada (6,5 numa escala de 0 a 10), mas a confirmação de uso em ataques pesa mais que a nota na hora de decidir o que atualizar primeiro.
A falha foi relatada por dois pesquisadores, identificados pela Microsoft como “nono” e Benoît Sevens. Nos agradecimentos do boletim, a empresa registra que Sevens fez a análise usando o Claude, sistema de inteligência artificial da Anthropic.
Quem está exposto
A lista oficial de produtos afetados traz:
- Microsoft 365 Apps para Empresas, nas versões de 32 e de 64 bits;
- Office LTSC 2021, 32 e 64 bits;
- Office LTSC 2024, 32 e 64 bits.
O Outlook na web e os aplicativos de celular não aparecem entre os produtos afetados. Em redes de empresas e órgãos públicos, o risco é maior: uma credencial capturada pode servir para entrar em outros sistemas ligados à mesma rede.
O tamanho do pacote de novembro
O Fato em Dia contou os registros no guia oficial de atualizações da Microsoft, que pode ser consultado pela interface pública de dados do MSRC. O boletim de novembro tem 1.362 entradas. Dessas, 1.095 são falhas com código emitido pela própria Microsoft; as demais vêm de componentes de terceiros usados pela empresa, como o Chromium, base do navegador Edge (165 entradas), e o Linux (41).
Por gravidade, são 69 falhas críticas, 1.132 importantes, 113 moderadas e 48 baixas.
Em outubro, o boletim tinha sido bem maior: 3.491 entradas, 1.475 delas com código da Microsoft. Na comparação entre as falhas da própria empresa, novembro tem 380 a menos, uma queda de cerca de 26% (1.095 dividido por 1.475 dá 0,74). Em outubro, a única brecha marcada como explorada estava no Shell do Windows.
Chrome também tem brecha em uso
Na segunda-feira (9), o Google liberou a versão 157.0.8103.50/.51 do Chrome para Windows e Mac, com nove correções de segurança. Em nota oficial, a empresa avisa que sabe da existência de um ataque que explora uma delas, a CVE-2026-125350, um erro de memória no componente que lê arquivos XML.
A Cisa pôs essa falha no mesmo catálogo na terça (10), com prazo também em 24 de novembro, e alerta que ela pode afetar outros navegadores feitos sobre o Chromium, como o Edge e o Opera.
O que fazer
- Office e Outlook: abra o Word ou o Outlook, vá em Arquivo > Conta > Opções de Atualização > Atualizar Agora. A lista de versões corrigidas está na página de atualizações de segurança do Microsoft 365.
- Windows: em Configurações > Windows Update, clique em Verificar se há atualizações e reinicie o computador quando pedir.
- Chrome: no menu de três pontos, entre em Ajuda > Sobre o Google Chrome. O navegador baixa a versão nova sozinho e pede para reiniciar.
- Edge: em Configurações > Sobre o Microsoft Edge, a atualização começa automaticamente.
- No dia a dia: não abra anexos de mensagem (.msg) ou arquivos do Office recebidos de remetentes que você não conhece, mesmo que o e-mail pareça vir de um colega ou de uma empresa conhecida.
Em empresas, a instalação costuma depender do setor de TI. Quem trabalha em máquina gerenciada e não vê a atualização disponível deve avisar o suporte, já que a correção do Outlook entra na lista de prioridade dos órgãos de segurança.
Encontrou um erro ou tem uma sugestão de pauta? Fale com a redação.
