Outlook: ثغرة مستغلة تسرّب بصمات NTLMv2 للمستخدمين، وMicrosoft تصححها

رصد Top-Secured السيبراني: تحليل مستقل يستند إلى المصادر المذكورة أدناه. Top-Secured غير تابعة للشركات المذكورة ولن تطلب منك أبدًا بياناتك المصرفية أو كلمات مرورك.

تصحح تحديثات Microsoft لشهر نوفمبر 2026 الثغرة CVE-2026-124194 في Outlook، والتي تقول الشركة إنها مستغلة بالفعل. فتح ملف مُعدّ خصيصًا في Outlook يجعله يتصل بخادم المهاجم دون التحذير المعتاد ويسلّمه بصمة NTLMv2 الخاصة بالمستخدم؛ وقد أضافت CISA الثغرة إلى فهرس الثغرات المستغلة.

ما الذي حدث

أصدرت Microsoft في 10 نوفمبر 2026 تحديثاتها الأمنية الشهرية. وبحسب The Record، تعالج هذه التحديثات 1093 ثغرة، متجاوزة الألف للشهر الثاني على التوالي. ومن بينها الثغرة CVE-2026-124194 في Outlook، التي تصنفها Microsoft على أنها مستغلة بالفعل. وفي اليوم نفسه أضافتها الوكالة الأمريكية CISA إلى فهرس الثغرات المستغلة، ومنحت الوكالات الفيدرالية مهلة حتى 24 نوفمبر لإصلاحها. ولم تكشف Microsoft ولا CISA عن الجهة التي تقف وراء الهجمات أو عن المستهدفين.

كيف يستغلها المهاجمون

تصف Microsoft السيناريو كالتالي: يرسل المهاجم ملفًا مُعدًّا خصيصًا ويقنع المستخدم بفتحه في Outlook. فيتصل البرنامج عندها بموقع شبكي يتحكم فيه المهاجم دون عرض التحذير المعتاد بشأن المحتوى الخارجي. وفي أثناء ذلك يكشف بصمة NTLMv2 الخاصة بالمستخدم، التي يمكن للمهاجم إعادة استخدامها لانتحال هويته. لا يحتاج المهاجم إلى حساب، لكن على الضحية فتح الملف: فجزء المعاينة ليس وسيلة هجوم. تمنحها Microsoft درجة 6.5 من 10 وتصنفها متوسطة الخطورة، غير أن بصمة مسروقة قد تفتح الباب إلى خدمات أخرى في الشركة.

المنتجات المتأثرة بحسب Microsoft: Microsoft 365 Apps for Enterprise (إصدارا 32 و64 بت) وOffice LTSC 2024 وOffice LTSC 2021.

ما الذي يجب فعله الآن

1. حدّثوا Office: الإصدار 16.0.17932.21140 أو أحدث لـ Office LTSC 2024، و16.0.14334.21048 أو أحدث لـ Office LTSC 2021؛ ولـ Microsoft 365 Apps، الإصدار الأمني لشهر نوفمبر في قناة التحديث لديكم. تحققوا من ذلك في Outlook عبر ملف > حساب Office > حول Outlook.
2. تأكدوا من وصول التحديثات فعلًا إلى الأجهزة: قد تبقى تثبيتات Click-to-Run على إصدار قديم إذا كانت سياسة ما تؤجل التحديثات.
3. احجبوا SMB الصادر (TCP 445) نحو الإنترنت في جدار الحماية: فهو الطريق الأكثر شيوعًا لإرسال بصمات NTLM إلى الخارج.
4. أضيفوا حسابات الإدارة والحسابات الحساسة إلى مجموعة Protected Users التي تمنع عنها مصادقة NTLM، وخططوا لتقليص استخدام NTLM في النطاق.
5. ذكّروا الموظفين بعدم فتح المرفقات غير المتوقعة، حتى من مرسل معروف.

رأينا

ثغرة مصنفة متوسطة لكنها مستغلة بالفعل تستحق اهتمامًا أكبر من ثغرة حرجة لا يستخدمها أحد. وتحديث أجهزة العمل جزء من أمن الخوادم: فبصمة NTLM المسرّبة كثيرًا ما تكون الخطوة الأولى نحو خادم الملفات أو وحدة التحكم بالنطاق.

المصادر

• Microsoft MSRC — Microsoft Outlook Spoofing Vulnerability (CVE-2026-124194)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-124194 (Microsoft Office Outlook)
• The Record — Microsoft’s Patch Tuesday surpasses 1,000 bugs for second month in a row

كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←