Outlook: una falla sfruttata fa trapelare gli hash NTLMv2 degli utenti, Microsoft la corregge

Monitoraggio cyber di Top-Secured: analisi indipendente basata sulle fonti citate più in basso. Top-Secured non è affiliato alle aziende menzionate e non le chiederà mai le sue credenziali bancarie né le sue password.

Gli aggiornamenti di novembre 2026 di Microsoft correggono la CVE-2026-124194, una falla di Outlook che secondo il produttore è già sfruttata. Un file manipolato aperto in Outlook lo spinge a collegarsi al server di un attaccante senza il consueto avviso, consegnando l’hash NTLMv2 dell’utente; la CISA l’ha inserita nel suo catalogo delle vulnerabilità sfruttate.

Cosa è successo

Il 10 novembre 2026 Microsoft ha pubblicato i suoi aggiornamenti di sicurezza mensili. Secondo The Record riguardano 1.093 vulnerabilità, oltre il migliaio per il secondo mese di fila. Tra queste, la CVE-2026-124194 di Outlook è segnalata da Microsoft come già sfruttata. Lo stesso giorno l’agenzia statunitense CISA l’ha aggiunta al suo catalogo delle vulnerabilità sfruttate, con scadenza al 24 novembre per le agenzie federali. Né Microsoft né la CISA hanno indicato chi conduca gli attacchi o chi ne sia stato bersaglio.

Come la usano gli attaccanti

Microsoft descrive lo scenario: l’attaccante invia un file manipolato e convince l’utente ad aprirlo in Outlook. Il programma si collega allora a un percorso di rete controllato dall’attaccante senza mostrare il consueto avviso sui contenuti esterni. Così facendo trasmette l’hash NTLMv2 dell’utente, che l’attaccante può riutilizzare per autenticarsi al suo posto. All’attaccante non serve alcun account, ma la vittima deve aprire il file: il riquadro di anteprima non è un vettore di attacco. Microsoft le assegna 6,5 su 10 e una gravità moderata, ma un hash rubato può aprire la strada ad altri servizi aziendali.

Prodotti interessati secondo Microsoft: Microsoft 365 Apps for Enterprise (32 e 64 bit), Office LTSC 2024 e Office LTSC 2021.

Cosa fare subito

1. Aggiornate Office: build 16.0.17932.21140 o successiva per Office LTSC 2024, 16.0.14334.21048 o successiva per Office LTSC 2021; per Microsoft 365 Apps, la build di sicurezza di novembre del vostro canale. Verificate in Outlook da File > Account di Office > Informazioni su Outlook.
2. Controllate che gli aggiornamenti arrivino davvero sulle postazioni: le installazioni Click-to-Run restano talvolta su una build vecchia quando un criterio rinvia gli aggiornamenti.
3. Bloccate l’SMB in uscita (TCP 445) verso Internet sul firewall: è la via più comune per inviare hash NTLM all’esterno.
4. Inserite gli account amministrativi e sensibili nel gruppo Protected Users, che impedisce loro l’autenticazione NTLM, e pianificate la riduzione di NTLM nel dominio.
5. Ricordate al personale di non aprire allegati inattesi, anche da mittenti noti.

Il nostro parere

Una falla giudicata moderata ma già sfruttata merita più attenzione di una critica che nessuno usa. L’aggiornamento delle postazioni fa parte della sicurezza dei server: un hash NTLM trapelato è spesso il primo passo verso il file server o il domain controller.

Fonti

• Microsoft MSRC — Microsoft Outlook Spoofing Vulnerability (CVE-2026-124194)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-124194 (Microsoft Office Outlook)
• The Record — Microsoft’s Patch Tuesday surpasses 1,000 bugs for second month in a row

Come scegliamo, verifichiamo e scriviamo le nostre analisi →