Uma falha de segurança no Microsoft Outlook pode expor informações de autenticação de usuários do Windows. A vulnerabilidade, identificada como CVE-2026-124194, já estava sendo explorada por criminosos quando a Microsoft disponibilizou uma correção, na terça-feira (10).O problema permite que invasores obtenham o hash de autenticação NTLMv2, informação que pode ser utilizada em tentativas de acesso a sistemas e contas como se fossem o usuário legítimo. Para explorar a brecha, o criminoso precisa convencer a vítima a abrir um arquivo de mensagem especialmente preparado para o ataque.A Microsoft classificou a vulnerabilidade como moderada, mas confirmou que havia registros de exploração ativa. A falha também foi incluída pela Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA, na sigla em inglês) no catálogo de vulnerabilidades conhecidamente exploradas.Como funciona a falha de segurança no Outlook?O ataque começa quando uma pessoa recebe um arquivo de mensagem malicioso e é convencida a abri-lo em uma versão afetada do Outlook;Ao executar o arquivo, o programa pode estabelecer conexão com um endereço de rede controlado pelo invasor. O detalhe é que isso acontece sem a exibição do aviso habitual sobre conteúdo externo;Nesse processo, informações de autenticação do Windows podem ser transmitidas ao servidor controlado pelo criminoso. Entre elas está o hash NTLMv2, registro criptográfico derivado das credenciais do usuário;Embora não seja a senha em texto puro, esse dado pode ser utilizado em tentativas de autenticação ou submetido a técnicas para tentar recuperar a senha original. Dependendo das circunstâncias, o invasor pode utilizá-lo para tentar se passar pela vítima em outros sistemas;A Microsoft informou que a exploração exige conexão de rede e interação do usuário. Portanto, não basta simplesmente receber uma mensagem: é necessário abrir o arquivo malicioso;Outro detalhe importante é que o painel de visualização do Outlook não é afetado como vetor desse ataque. A vulnerabilidade depende da abertura do arquivo de mensagem.Leia mais:Novo bug do Windows permite acesso total ao PC e ainda não tem correçãoMicrosoft quer transformar o Windows em um computador que faz tarefas por vocêAdobe leva ferramentas de IA ao Fotos do Windows 11; veja o que mudaInformações de autenticação do Windows podem ser transmitidas ao servidor controlado pelo criminoso – Imagem: tomeqs/ShutterstockMicrosoft disponibilizou correção para a vulnerabilidadeA correção foi disponibilizada na terça-feira (10), durante o pacote mensal de atualizações de segurança da Microsoft, conhecido como Patch Tuesday.A empresa confirmou que a CVE-2026-124194 estava sendo explorada antes da disponibilização do reparo. A vulnerabilidade foi classificada como falha de falsificação (spoofing), com pontuação 6,5 na escala CVSS, que mede a gravidade de problemas de segurança digital.O alerta oficial cita como produtos afetados o Microsoft 365 Apps for Enterprise e as versões Office LTSC 2021 e Office LTSC 2024.A descoberta foi creditada aos pesquisadores identificados como Nono e Benoît Sevens. Segundo a Microsoft, Sevens utilizou o Claude, modelo de inteligência artificial (IA) da Anthropic, durante o trabalho de análise da vulnerabilidade.A CISA também incluiu a falha em seu catálogo de vulnerabilidades exploradas conhecidas, conhecido pela sigla KEV. A agência estabeleceu 24 de novembro de 2026 como prazo para que órgãos federais civis dos Estados Unidos apliquem a correção. Essa determinação é direcionada às instituições estadunidenses, não às empresas brasileiras.Pacote de novembro corrige mais de mil falhasA vulnerabilidade do Outlook faz parte de conjunto maior de atualizações disponibilizadas pela Microsoft em novembro.Segundo levantamento, o pacote contempla 1.259 correções e identificadores de vulnerabilidades. Desse total, 1.094 correspondem a falhas de produtos da própria Microsoft, enquanto outros 165 identificadores foram republicados a partir de vulnerabilidades reportadas por terceiros.Entre os produtos contemplados estão o Windows e o Office. O pacote inclui 726 correções relacionadas ao Windows e 174 ao Office, além de mais de 500 vulnerabilidades associadas à elevação de privilégios — quando um invasor consegue obter permissões superiores às que deveria ter em determinado sistema.A atualização também contempla falhas que poderiam permitir a execução remota de código em componentes do Windows e uma vulnerabilidade de elevação de privilégios no Azure OpenAI.Este é o segundo mês consecutivo em que o pacote mensal de segurança da Microsoft ultrapassa a marca de mil vulnerabilidades.O post Hackers exploram brecha no Outlook para capturar credenciais do Windows apareceu primeiro em Olhar Digital.