预警：Outlook 零日漏洞在野利用，打开即泄露凭据

CVE-2026-124194 微软归类为欺骗类漏洞，CVSS 6.5，评级中等。但单纯看评分很容易低估风险。 漏洞本质是 Outlook 的外部内容校验逻辑缺陷：打开特制消息文件时，本该弹出的外部资源访问警告被绕过，程序静默访问攻击者控制的网络地址。 泄露的 NTLMv2 哈希，攻击者拿到后可以离线破解，或是在支持 NTLM 认证的环境中尝试身份冒用，横向访问内网资源，进一步扩大入侵范围。

这里明确触发条件：只收到邮件、预览窗格预览，不会触发漏洞；必须由用户主动打开特制消息文件（如 .msg 等 Outlook 消息格式），并且终端能够对外出站访问。 虽然触发需要人工操作，但打开一个特制消息文件（如 .msg 等 Outlook 消息格式）属于很常规的办公操作，攻击门槛很低；该漏洞为零日漏洞，补丁上线前就已经出现真实攻击案例。

受影响产品包含 Microsoft 365 企业版应用、Office LTSC 2021、Office LTSC 2024。 一个极易踩坑的关键点：这个漏洞补丁走 Office/Microsoft 365 应用更新，不属于 Windows 系统累积更新。只跑 Windows 更新，不代表 Outlook 已经修复。

配套提醒：本次补丁日同步发布 Exchange Server 11 月 SU 累积安全更新。 Exchange Online（365 云端邮箱）由微软自动维护，无需手动操作；本地自建 Exchange 服务器，需要管理员单独测试部署，这批补丁同样包含邮件相关风险修复，公网暴露的 Exchange 服务器一直是扫描攻击重点，更新前务必做好备份、先测后上，避免邮件队列堆积、OWA 访问异常。

1. 优先核查终端 Office/Microsoft 365 应用版本，确认 Outlook 安全补丁安装到位，不要以 Windows 更新结果作为判断标准；
2. 短期内无法批量推送补丁的组织，可以考虑在边界、终端侧限制不必要的出站 SMB、NTLM 认证流量，降低哈希泄露后的利用空间；
3. 针对风险窗口内的账号，持续监控异常登录、跨资源访问等认证日志，出现可疑行为及时重置账号密码；
4. 面向全员做短期提醒：谨慎打开来路不明的邮件附件，尤其留意特制消息文件（如 .msg 等 Outlook 消息格式），打开前核验发件人身份；
5. 自建 Exchange 环境的运维：更新前备份数据库与系统状态，测试环境验证收发、OWA、ECP、SMTP 中继功能正常后再投产；暂时无法升级的，收紧 ECP、OWA 公网暴露范围，加强网关审计；
6. 长期加固：持续维护 SPF、DKIM、DMARC 域名解析记录，做好邮件身份认证，和客户端补丁防护形成多层防线。

CVE-2026-124194 分数不高，但风险组合很有代表性：已经在野利用、攻击入口是邮件、触发动作就是办公里常见的打开消息文件。 很多团队习惯把 Windows 补丁、Office 补丁、Exchange 服务器补丁放在同一套流程里，却忽略它们分属不同更新链路。攻击者不会参考 CVSS 评级，只会盯着这些容易被漏掉的补丁缺口。邮件安全，客户端、后端服务器、邮件域名认证，每一环都不能缺位。

声明： 本文信息基于微软安全公告及公开漏洞情报整理，仅作安全预警参考，不构成变更实施的决策依据。