A severidade oficial é “Moderada” (CVSS 3.1 de 6.5). Ainda assim, a combinação de exploração confirmada, vetor de phishing e roubo de credencial corporativa justifica tratar esta falha como prioridade máxima no ciclo. Logo atrás vêm as RCE críticas em Active Directory Domain Services, Exchange Server, Microsoft Defender, Graphic Fonts e no próprio Outlook.

Ação imediata: atualize o Microsoft 365 Apps, o Office LTSC 2021 e o Office LTSC 2024 e bloqueie SMB de saída (TCP 445) para a internet. Em seguida, aplique os cumulativos em controladores de domínio e servidores Exchange.

Para comparar meses, adotamos a métrica de CVEs nativos da Microsoft (cerca de 1.094). O lote é menor que o de outubro, quando foram corrigidas cerca de 1.411 a 1.474 vulnerabilidades, conforme a fonte. É o segundo mês seguido acima de mil CVEs, tendência que os pesquisadores atribuem ao uso crescente de descoberta assistida por IA.

Zero-day Microsoft Outlook Spoofing Vulnerability

Como a exploração funciona

Segundo o advisory da Microsoft, um atacante não autenticado envia um arquivo de mensagem especialmente forjado e convence a vítima a abri-lo no Outlook. Ao abrir o arquivo, o cliente se conecta a um local de rede controlado pelo atacante sem exibir o aviso habitual de conteúdo externo.

Nessa conexão, o Windows tenta se autenticar automaticamente no servidor remoto e entrega o hash NTLMv2 do usuário. Com o hash capturado, o atacante pode:

• Quebrá-lo offline para recuperar a senha, o que é viável contra senhas fracas;
• Usá-lo em ataques de NTLM relay contra serviços internos sem assinatura SMB ou sem proteção estendida (EPA), como LDAP, ADCS Web Enrollment e Exchange;
• Usar as credenciais recuperadas para acesso inicial e movimento lateral.

É uma classe de ataque recorrente: falhas semelhantes de vazamento de hash NTLM já foram exploradas em campanhas de phishing contra órgãos governamentais. A severidade “Moderada” reflete o impacto direto isolado, não o valor operacional da credencial roubada.

Atenção: o patch impede novos vazamentos, mas não invalida hashes já capturados. Se houver indício de exploração prévia, trate as contas afetadas como comprometidas e redefina as senhas.

---

Outras vulnerabilidades prioritárias

A confirmar: uma fonte listou a CVE-2026-116928 como RCE zero-click via Windows Search através do Exchange, com CVSS 9.8, e atribuiu ao Zero Day Initiative a contagem de 30 CVEs “wormable” no mês. Esses dados ainda não foram confirmados em fonte primária e devem ser checados no Security Update Guide antes de orientar decisões.

Atualizações cumulativas

A Microsoft não reporta problemas conhecidos novos neste ciclo. O lote também corrige a falha antiga que afetava dispositivos de áudio USB.

Fim de suporte em 10 de novembro de 2026

Deixam de receber atualizações hoje: Windows 11 Enterprise e Education 23H2, Windows 11 IoT Enterprise 23H2, .NET 8 (LTS), .NET 9 (STS), PowerShell 7.4 (LTS) e Azure IoT Edge 1.5 (LTS). Ambientes que permanecerem nessas versões não receberão as correções dos próximos ciclos.

Ações recomendadas, em ordem de prioridade

1. Atualizar o Office e o Outlook (zero-day)

Verifique a versão instalada do Microsoft 365 Apps (Click-to-Run):

Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration" |
  Select-Object VersionToReport, CDNBaseUrl, UpdateChannel

Force a atualização imediata em uma estação:

& "C:\Program Files\Common Files\Microsoft Shared\ClickToRun\OfficeC2RClient.exe" /update user displaylevel=false forceappshutdown=true

2. Bloquear SMB de saída para a internet

No perímetro, bloqueie TCP 445 (e, se aplicável, TCP 139) de saída para endereços externos. Como defesa em profundidade no host:

New-NetFirewallRule -DisplayName "Bloquear SMB saida para internet" `
  -Direction Outbound -Protocol TCP -RemotePort 445 `
  -RemoteAddress Internet -Action Block -Profile Any

Teste antes em grupo piloto: a regra pode afetar acessos legítimos a compartilhamentos em nuvem via SMB (por exemplo, Azure Files).

3. Endurecer o uso de NTLM

• Inclua contas privilegiadas no grupo Protected Users, que não aceita autenticação NTLM.
• Ative a auditoria de NTLM antes de restringir. Configure via GPO em Configurações de Segurança > Políticas Locais > Opções de Segurança > Segurança de rede: Restringir NTLM.
• Exija assinatura SMB e habilite EPA e Channel Binding em LDAP, ADCS e Exchange para reduzir a superfície de relay.

Para listar as contas atualmente no grupo Protected Users:

Get-ADGroupMember -Identity "Protected Users" | Select-Object Name, SamAccountName

4. Aplicar os cumulativos em controladores de domínio e Exchange

Confirme a instalação do KB em servidores:

Get-HotFix | Where-Object { $_.HotFixID -in "KB5132061","KB5131087","KB5131096" }

No Exchange Management Shell, confirme a versão do servidor após aplicar a atualização de segurança:

Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion

5. Estações e demais servidores

Distribua o cumulativo mensal pelo processo usual (WSUS, Intune, Configuration Manager ou Windows Update for Business), com janela acelerada para estações de usuários com e-mail.

Caça a ameaças e verificação de comprometimento

A Microsoft não divulgou indicadores de comprometimento (IOCs) associados à exploração da CVE-2026-124194. As consultas abaixo procuram o comportamento característico: o Outlook iniciando conexões SMB ou WebDAV para endereços externos.

Microsoft Defender for Endpoint (KQL)

DeviceNetworkEvents
| where Timestamp > ago(30d)
| where InitiatingProcessFileName =~ "outlook.exe"
| where RemotePort in (445, 139)
| where RemoteIPType == "Public"
| project Timestamp, DeviceName, InitiatingProcessAccountName, RemoteIP, RemotePort, RemoteUrl
| order by Timestamp desc

WebDAV acionado a partir do Outlook

DeviceProcessEvents
| where Timestamp > ago(30d)
| where FileName =~ "rundll32.exe"
| where ProcessCommandLine has "davclnt.dll" and ProcessCommandLine has "DavSetCookie"
| where InitiatingProcessFileName in~ ("outlook.exe", "svchost.exe")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine

Sysmon (Event ID 3) via PowerShell

Get-WinEvent -FilterHashtable @{LogName="Microsoft-Windows-Sysmon/Operational"; Id=3} |
  Where-Object { $_.Message -match "OUTLOOK.EXE" -and $_.Message -match "DestinationPort: 445" } |
  Select-Object TimeCreated, Message

Controladores de domínio

Correlacione eventos 4624 com Authentication Package: NTLM e origem inesperada com os horários das conexões externas encontradas acima. Autenticações NTLM de contas privilegiadas a partir de estações comuns merecem investigação.

Indicadores de comprometimento

Este alerta será atualizado se surgirem IOCs, atribuição de campanha, inclusão no CISA KEV ou pontuação EPSS.

Referências

• Microsoft Security Response Center: CVE-2026-124194
• BleepingComputer: Microsoft November 2026 Patch Tuesday fixes 1,235 flaws
• Zero Day Initiative: The November 2026 Security Update Review