Microsoft ha corretto con il Patch Tuesday di novembre uno zero-day Outlook già sfruttato in attacchi reali. La falla, identificata come CVE-2026-124194, permette a chi attacca di ottenere l’hash NTLMv2 dell’utente, cioè un’impronta delle sue credenziali Windows che può essere usata per impersonarlo. Gli aggiornamenti sono stati pubblicati martedì 10 novembre e, lo stesso giorno, l’agenzia statunitense CISA ha inserito la vulnerabilità nel suo catalogo delle falle note e sfruttate (KEV), chiedendo alle agenzie federali di installare la correzione entro il 24 novembre.
Come funziona lo zero-day Outlook CVE-2026-124194
Microsoft classifica la falla come vulnerabilità di spoofing, con un punteggio CVSS di 6,5 e gravità moderata. Il problema nasce dal fatto che Outlook non avvisa l’utente prima di un’azione potenzialmente pericolosa. Secondo l’avviso dell’azienda, un attaccante non autenticato può inviare un file di messaggio costruito ad arte e convincere la vittima ad aprirlo: a quel punto Outlook si collega a una risorsa di rete controllata dall’attaccante senza mostrare il consueto avviso sui contenuti esterni, consegnandogli l’hash NTLMv2 dell’utente.
Serve quindi un’interazione della vittima: Microsoft precisa che il riquadro di anteprima non è un vettore di attacco. L’azienda non ha fornito dettagli sulle campagne osservate né indicatori di compromissione. Secondo Tenable, l’avviso attribuisce la scoperta a un ricercatore che si è servito di Claude, il modello di intelligenza artificiale di Anthropic. I prodotti interessati sono Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024.
Perché il furto dell’hash NTLM è pericoloso
Il punteggio relativamente basso non racconta tutto il rischio. Come spiega Rapid7, l’hash NTLMv2 può essere inoltrato in tempo reale verso altri servizi aziendali per autenticarsi al posto dell’utente (il cosiddetto NTLM relay), dove mancano protezioni come la firma dei messaggi SMB e LDAP o l’Extended Protection for Authentication su Exchange e Active Directory Certificate Services. In alternativa, l’hash può essere decifrato offline per risalire alla password. Per questo una falla del genere interessa sia i criminali che cercano accessi iniziali su larga scala sia gruppi più sofisticati, come quelli che negli ultimi giorni abbiamo visto prendere di mira i server Exchange dei governi.
Un Patch Tuesday da oltre mille vulnerabilità
L’aggiornamento di novembre è tra i più corposi di sempre: le fonti concordano su oltre mille falle corrette, anche se il conteggio varia a seconda del metodo usato (1.093 per Tenable, 1.094 per SecurityWeek, 1.235 per BleepingComputer). Secondo Tenable, 63 vulnerabilità sono classificate come critiche. SecurityWeek indica che 726 riguardano Windows e 174 Office, seguiti da SQL Server, strumenti per sviluppatori, SharePoint Server, Azure ed Exchange Server. CVE-2026-124194 è l’unica falla del pacchetto indicata da Microsoft come già sfruttata.
Il mese di novembre si conferma intenso sul fronte delle correzioni urgenti: nei giorni scorsi Google ha chiuso un altro zero-day di Chrome già sfruttato, mentre a fine ottobre avevamo raccontato una falla di Microsoft Authenticator che permetteva di rubare token fingendosi Teams.
Cosa fare per proteggersi
Le indicazioni di Microsoft e dei ricercatori sono chiare. Ecco le azioni consigliate:
- installare subito gli aggiornamenti di sicurezza di Office di novembre su tutti i computer che usano Outlook, verificando che il proprio canale di aggiornamento di Microsoft 365 Apps abbia ricevuto la correzione;
- applicare anche gli altri aggiornamenti del Patch Tuesday, dando priorità alle falle critiche di Windows;
- non aprire file di messaggio ricevuti in modo inatteso, anche se sembrano provenire da contatti noti;
- nelle aziende, valutare il blocco del traffico SMB e NTLM in uscita verso Internet e attivare la firma SMB e LDAP per limitare gli attacchi di tipo relay;
- monitorare autenticazioni anomale dopo l’apertura di allegati sospetti.
Fonti: Microsoft Security Response Center, CISA KEV, Tenable, Rapid7, SecurityWeek, BleepingComputer.
