微软 Outlook 曝在野利用漏洞，可泄露 NTLMv2 哈希

微软确认，Microsoft Office Outlook 中存在一个已被在野利用的欺骗漏洞，编号 CVE-2026-124194，CVSS 评分为 6.5，微软将其严重级别定为“中等”。攻击者只需发送特制消息文件并诱使用户打开，即可让 Outlook 在未显示常规外部内容警告的情况下连接攻击者控制的网络位置，从而泄露用户的 NTLMv2 哈希。

相关安全更新已于 2026 年 11 月 10 日随月度补丁发布，涉及 Microsoft 365 商业版、Office LTSC 2021 和 Office LTSC 2024。微软表示，攻击者拿到哈希后可用于冒充该用户身份。

漏洞与影响范围

这一评分在月度补丁中并不突出，但微软同时确认该漏洞已被在野利用，意味着已有攻击者构建出可用攻击并针对真实目标使用。

已查阅的报道只点名这三类产品，运行其他版本的管理员应查阅微软安全更新指南中该 CVE 的条目，而不是自行推断是否受影响。

从漏洞类别看，问题不在内存破坏或代码执行，而在于 Outlook 判断何时应当警告用户的信任机制失效。攻击链由邮件投递、用户主动打开、静默外连和哈希被窃四步组成，其中没有任何环节需要攻击者事先取得凭据或网络立足点。

攻击如何窃取哈希

攻击的起点是一封邮件。未通过身份验证的攻击者发送一个特制的消息文件，并诱导用户在受影响版本的 Outlook 中打开它。攻击者无需任何凭据即可发起，也不需要事先在网络中取得据点，一封措辞得当的钓鱼邮件即可完成投递，常见 pretext 包括发票、共享文档或自称同事转发的消息。

文件被打开后，Outlook 会连接到一个由攻击者控制的网络位置。按正常设计，Outlook 在加载外部内容前会向用户发出警告，但微软的描述指出，在此情形下常规的外部内容警告不会出现，连接在无提示的情况下发出，并携带认证材料。用户看不到任何类似提示的界面，攻击链中唯一的人工检查点因此被跳过。

被泄露的是 NTLMv2 哈希。NTLM 是 Windows 沿用多年的质询响应认证协议，客户端用由用户密码派生的秘密计算响应来证明身份，NTLMv2 哈希即该过程的产物。它不是密码本身，但危险程度接近：攻击者可以离线破解，弱密码或重复使用的密码往往很快失守；也可以把认证尝试实时中继到仍接受 NTLM 的其他服务，从而完全跳过破解。

两条路径的终点相同：攻击者在不向任何伪造登录页输入密码的情况下，取得组织内部的一个有效身份。微软表示，攻击者拿到哈希后可用于冒充该用户身份，影响范围包括邮箱访问、文件共享以及任何仍然信任 NTLM 的内部 Web 应用。哪条路径可行取决于目标环境，包括内部服务的签名要求和 NTLM 是否仍被接受。

微软公告原文说了什么

微软对漏洞触发方式的描述较为简短。据 SecurityWeek 引述，公司称未通过身份验证的攻击者可发送特制消息文件并说服用户在受影响版本的 Outlook 中打开，打开后可能使 Outlook 在未显示常规外部内容警告的情况下连接到攻击者控制的网络位置，从而可能泄露可用于冒充该用户的认证信息。

关于泄露的具体凭据，微软的描述写明：该漏洞向攻击者披露用户的 NTLMv2 哈希，攻击者可借此以该用户身份通过认证。The Register 同样引用了微软的措辞，并记录了连接层面的情况，即 Outlook 在不显示常规外部内容警告的情况下连接至攻击者控制的网络位置，进而泄露哈希。

微软还说明，预览窗格无法触发该漏洞。这一细节对处置有实际意义：仅选中邮件而不打开，不构成触发条件，风险集中在用户实际打开特制文件这一动作上。

围绕公告的传播存在一处需要区分的地方。部分报道的标题称微软要求所有 Outlook 用户立即更新，但已查阅的公告摘录中并不包含这一原话。公告中确实存在的是在野利用标记、清晰的攻击描述和已发布的补丁。向员工说明“一个已被利用的漏洞已有补丁、应在本周安装”是准确的，而宣称微软发布了紧急命令则缺乏依据，后者在真正的紧急事件到来时会损害内部通告的可信度。

哪些设备最易滞留风险

三类受影响产品的补丁获取方式不同，直接决定了修复速度的差异。Microsoft 365 商业版通常通过基于通道的服务方式接收更新，通道发布后许多机器无需管理员操作即可拉取修复。

LTSC 版本的行为不同。它们停留在固定的服务基线上，常部署在受监管或管控严格的环境中，更新往往要等待变更窗口。这类机器最可能长时间处于暴露状态，包括虚拟桌面和共享终端服务器在内的资产也需要纳入清点，因为它们容易被部署清单遗漏。

从攻击目标看，高管、财务、法务和 IT 人员最可能是钓鱼邮件的首选对象，在推送顺序上应优先覆盖。更新完成后应核验实际安装的版本号，而不是仅信任部署仪表盘的显示结果。LTSC 机器需要单独跟踪，因为它们通常滞后。

企业应如何处置

对 IT 团队而言，可操作的顺序是先确认全网运行了哪些 Office 版本，包括虚拟桌面与共享终端服务器；随后优先向高风险岗位推送 11 月 10 日的更新；更新后核验已安装的构建版本；最后单独跟踪 LTSC 设备。

补丁之外，还有一些控制措施可以缩小损害面，即便在补丁滞后的机器上也有作用。由于泄露的是 NTLMv2 哈希，限制 NTLM 的使用范围、对内部服务施加签名要求，都会影响攻击者中继认证的可行性。哈希被离线破解的速度则取决于密码强度，长随机密码更难在短时间内失守。

这一漏洞也延续了 Outlook 凭据泄露问题的长期脉络。此次修复针对的是 CVE-2026-124194 本身，而攻击之所以成立，依赖的是 Outlook 在外部内容警告上的判断失误，以及 Windows 环境中自动认证的既有行为。

要点

• 漏洞编号 CVE-2026-124194，属欺骗类漏洞
• CVSS 评分 6.5，微软定为“中等”严重级别
• 微软确认该漏洞已被在野利用
• 成功攻击可泄露用户 NTLMv2 哈希
• 补丁于 2026 年 11 月 10 日发布