Microsoft תיקנה חולשת Zero‑Day ב‑Outlook שמנוצלת בפועל ועלולה לחשוף מידע אימות מסוג NTLMv2 לאחר שהמשתמש פותח קובץ הודעה זדוני. החולשה, CVE‑2026‑124194, נוספה לקטלוג החולשות המנוצלות של CISA ב־10 בנובמבר 2026, ולכן ארגונים שמפעילים Microsoft 365 Apps או Office LTSC צריכים לתת לעדכון עדיפות גבוהה — גם אם ציון ה‑CVSS שלה הוא 6.5 בלבד.
מה קורה בזמן הניצול
לפי התיאור שפרסמה Microsoft, ממשק Outlook אינו מציג למשתמש את האזהרה המצופה לפני פעולה שעלולה להיות מסוכנת. תוקף שאינו מזוהה יכול לשלוח קובץ הודעה שעוצב במיוחד ולשכנע את המשתמש לפתוח אותו. עם הפתיחה, Outlook עלול להתחבר למיקום רשת שבשליטת התוקף בלי להציג את אזהרת התוכן החיצוני הרגילה.
החיבור עלול לחשוף פרטי אימות שבהם ניתן להשתמש להמשך התחזות למשתמש. דיווחי CERT המתבססים על הודעת Microsoft מתארים חשיפה של NTLMv2 hash, שניתן לנסות להעביר לשירות אחר במסגרת NTLM relay או לתקוף באופן לא מקוון. הניצול דורש אינטראקציה של המשתמש וקישוריות רשת, ואינו מופעל רק מהצגת ההודעה ב‑Preview Pane.
למה ציון 6.5 אינו סיבה להמתין
ציון CVSS משקלל תנאים טכניים כמו הצורך בפעולת משתמש והיקף ההשפעה הישירה. הוא אינו מודד לבדו את הסבירות המעשית לתקיפה בארגון מסוים. במקרה הזה Microsoft ו‑CISA מציינות ניצול פעיל, ולכן האות התפעולי חשוב יותר מהציון הבינוני.
קובצי MSG נתפסים לעיתים כפריטי דואר רגילים, במיוחד כאשר הם נשלחים כחלק מהעברת שרשור, בקשת תמיכה או ארכיון התכתבות. תוקף יכול לשלב אותם בתרחיש פישינג שנראה עסקי, והחשיפה אינה מחייבת הפעלת מאקרו או קובץ EXE.
אילו גרסאות מושפעות
רשומת ה‑CVE של Microsoft כוללת את Microsoft 365 Apps for Enterprise ואת Office LTSC 2021 ו‑2024 במערכות 32 ו‑64 ביט. עבור Office LTSC 2021, הגרסה המתוקנת מתחילה ב‑16.0.14334.21048; עבור Office LTSC 2024, ב‑16.0.17932.21140. לקוחות Microsoft 365 Apps צריכים להסתמך על ערוצי העדכון וה‑Office Security Releases המתאימים לארגון.
מנהלי Endpoint אינם צריכים להסתפק בכך שהעדכון “אושר” בקונסולה. יש לוודא בפועל שה‑build המתוקן הגיע לתחנות, במיוחד למחשבים שלא היו מחוברים, למחשבי הנהלה ולעמדות VDI או RDS שמריצות Outlook קלאסי.
חמש פעולות שמומלץ לבצע עכשיו
- פרסו את עדכוני 10 בנובמבר ל‑Office בעדיפות. בצעו אימות build ולא רק בדיקת סטטוס מדיניות.
- חפשו קובצי MSG חשודים. בדקו הודעות עם קבצים מצורפים מסוג MSG, במיוחד משולחים חיצוניים או בהקשר עסקי לא צפוי.
- צמצמו NTLM. חסמו ככל האפשר NTLM יוצא אל האינטרנט ו‑SMB יוצא בפורט 445. זו שכבת הגנה משלימה, לא תחליף לעדכון.
- בדקו לוגים של אימות ורשת. חפשו חיבורים חריגים מתחנות Outlook ליעדים חיצוניים וניסיונות אימות סמוכים לפתיחת הקובץ.
- חדדו הנחיות לעובדים. אין לפתוח קובץ הודעה מצורף רק משום שהוא נראה כמו מייל שהועבר.
מה לבדוק אם יש חשד לפתיחה
אם משתמש פתח קובץ חשוד, יש לאסוף את ההודעה והקובץ המקוריים, את תיעוד ה‑EDR, חיבורי הרשת ואירועי האימות. מומלץ לזהות את היעד שאליו ניסתה התחנה להתחבר ולבדוק האם התקבלו אחר כך ניסיונות כניסה, NTLM relay או שימוש חריג בזהות המשתמש.
איפוס סיסמה לבדו אינו תמיד מספיק אם התוקף כבר השיג Session, Token או גישה למערכת אחרת. יש לבחון את האירוע לפי טווח הזמן הרלוונטי, לבטל Sessions כשנדרש ולהפעיל MFA בשירותים שעדיין אינם מוגנים. בסביבות שממשיכות להשתמש ב‑NTLM, חשוב במיוחד לבדוק אילו שירותים מקבלים אותו ומה ניתן להעביר ל‑Kerberos או לאימות מודרני.
השורה התחתונה
CVE‑2026‑124194 היא דוגמה טובה לחולשה שהציון המספרי שלה אינו מספר את כל הסיפור. נדרש אמנם שהמשתמש יפתח קובץ, אך התוצאה עלולה להיות חשיפת חומר אימות, ו‑Microsoft כבר מדווחת על ניצול בפועל. עדכון Office, חסימת NTLM ו‑SMB יוצאים, ניטור קובצי MSG והדרכת עובדים צריכים להתבצע יחד.
מקורות: Microsoft Security Response Center; CISA Known Exploited Vulnerabilities; MyCERT technical advisory.
קרדיט תמונה: Sasun Bughdaryan / Unsplash. התמונה משמשת להמחשה וזמינה לשימוש מסחרי ולא־מסחרי באתר, בסושיאל ובשיווק לפי רישיון Unsplash; אין למכור אותה ללא שינוי מהותי ואין ליצור ממנה שירות תמונות מתחרה. דף המקור.
