微軟修補已遭利用的 Outlook 漏洞，建議儘速更新
微軟修補了已在野外遭到實際利用的 Outlook 漏洞 CVE-2026-124194，若使用者開啟惡意郵件檔案，可能導致身分認證資訊外洩。
- Outlook 的 CVE-2026-124194 漏洞在微軟釋出修補程式前，就已遭到實際利用攻擊。
- 攻擊者需要誘使使用者主動開啟偽造的郵件檔案才能發動攻擊。
- 一旦開啟檔案，Outlook 可能會在未顯示警告的情況下，悄悄連線至攻擊者掌控的伺服器。
- Microsoft 365 Apps for Enterprise、Office LTSC 2021 與 Office LTSC 2024 均受波及。
- 修補程式已包含在 11 月 10 日釋出的安全性更新中，建議使用者儘速安裝。
文章目录
已遭實際利用的 Outlook 漏洞
微軟日前針對 Outlook 中的 CVE-2026-124194 漏洞發布緊急警告。這是一項偽冒（spoofing）類型的缺陷，起因於使用者介面在執行不安全操作前，未能適時向使用者發出警告。
攻擊者會寄送經過特製竄改的郵件檔案。如果使用者開啟此檔案，Outlook 可能會自動連線至攻擊者掌控的伺服器，且平時常見的安全性警告對話方塊完全不會跳出。
對使用者帶來的資安風險
這導致使用者的身分認證資訊可能因此外洩。根據資安分析，該外洩資料為 NTLMv2 雜湊值（NTLMv2 hash）。有心人士可藉此冒充受害者身分，或橫向移動滲透同一內部網路中的其他電腦。
微軟將此漏洞評定為「中度」（Moderate）風險，CVSS 評分為 6.5 分。然而，由於已有實際利用攻擊情事，修補優先順序遠高於評分所呈現的水準。美國網路安全暨基礎設施安全局（CISA）也已將此漏洞列入已知遭利用漏洞清單（KEV）。
受影響版本與更新方式
受影響產品包括 Microsoft 365 Apps for Enterprise、Office LTSC 2021 與 Office LTSC 2024。值得注意的是，唯有在使用者手動開啟惡意檔案時，攻擊才會成功觸發。
該修補程式已包含在 11 月 10 日釋出的 11 月份安全性更新中。個人使用者通常可直接透過軟體內的「帳戶」（Account）設定進行 Office 更新；至於企業環境中的電腦，建議聯繫 IT 部門協助部署修補程式。
此缺陷存在於 Office 元件中，而非 Windows 核心檔案，因此一般的 Windows Update 更新不一定會包含 Outlook 的這項修補。
面對需要手動開啟檔案才會觸發的漏洞，日常的操作警覺與修補程式同等重要。建議您立即更新 Office，並避免開啟來源不明的可疑郵件檔案。採用 Office LTSC 的企業更應單獨檢查 Office 的更新管道，因為單純安裝 Windows 修補程式可能不足以防範此威脅。
來源：PCWorld
审核人: Hero Association
