Microsoft opravil aktívne zneužívanú chybu v Outlooku
Microsoft v novembrových aktualizáciách opravil zraniteľnosť Outlooku CVE-2026-124194, ktorú CISA zaradila medzi aktívne zneužívané chyby.
Outlook CVE-2026-124194 je zraniteľnosť typu spoofing, ktorú Microsoft opravil v novembrových bezpečnostných aktualizáciách vydaných 10. novembra 2026. Americká agentúra CISA ju v ten istý deň zaradila do katalógu Known Exploited Vulnerabilities (KEV), čo potvrdzuje aktívne zneužívanie chyby.
Problém sa týka Microsoft Outlooku a podľa Microsoftu môže viesť k odhaleniu autentifikačných údajov. Útočník by ich následne mohol zneužiť na vydávanie sa za napadnutého používateľa. Hoci má chyba hodnotenie CVSS 6,5, jej zaradenie do katalógu KEV zvyšuje naliehavosť nasadenia opravy.
Ako funguje Outlook CVE-2026-124194
Scenár útoku vyžaduje, aby používateľ otvoril špeciálne upravený súbor správy. Outlook potom môže kontaktovať sieťové umiestnenie ovládané útočníkom bez obvyklej výstrahy pre externý obsah. Takto môže dôjsť k odhaleniu autentifikačných údajov.
Microsoft zraniteľnosť klasifikuje ako spoofing. Nejde teda o chybu, pri ktorej by podľa dostupného opisu stačilo doručenie e-mailu: potrebná je interakcia používateľa s upraveným súborom správy.
Koho sa oprava týka
Prioritou by malo byť nasadenie novembrových aktualizácií v organizáciách, ktoré používajú dotknuté vydania Microsoft 365 Apps for Enterprise a Office LTSC. Samotná aktualizácia systému Windows nemusí tento problém odstrániť, keďže oprava sa vzťahuje na produkt Outlook a Office.
Správcovia by mali preveriť stav aktualizácií Office vo svojom prostredí a porovnať používané verzie so zoznamom opravených vydaní v advisore Microsoftu. CISA zaradením chyby do KEV signalizuje, že zraniteľnosť má byť riešená prednostne.
Počty opráv sa líšia podľa metodiky
Novembrový Patch Tuesday zahŕňal veľké množstvo opráv, no uvádzané počty nie sú jednotné. BleepingComputer uviedol vlastný súčet 1 235 opravených chýb. Iné prehľady uvádzajú 1 094 Microsoft CVE. Rozdiel vyplýva z metodiky, teda z toho, ktoré produkty, komponenty a položky daný súčet zahŕňa.
Pre správcov je pri tejto vlne podstatnejší konkrétny stav opravy CVE-2026-124194 než celkové číslo zraniteľností. Ide o potvrdene aktívne zneužívanú chybu, ktorá sa týka e-mailového klienta.
Čo zatiaľ nie je známe
Nezávisle potvrdené nie je, kto zraniteľnosť zneužíva, v akom rozsahu prebiehajú útoky ani ktoré organizácie boli cieľom. Zatiaľ neboli potvrdené ani podrobnosti o konkrétnych kampaniach, aktéroch či obetiach.
Ďalší vývoj bude závisieť od prípadných revízií advisora Microsoftu, zverejnenia presného zoznamu dotknutých verzií a technických informácií alebo indikátorov kompromitácie od Microsoftu či CISA.
Zdroje
- Microsoft Security Update Guide – Primárny advisory Microsoftu k CVE-2026-124194 a dostupnosti bezpečnostnej opravy.
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie chyby Outlooku do katalógu známych zneužívaných zraniteľností 10. novembra 2026.
- BleepingComputer – Opisuje priebeh útoku, aktívne zneužívanie a vlastnú metodiku súčtu 1 235 chýb.
- CSO Online – Koroboruje počet 1 094 Microsoft CVE, hodnotenie CVSS 6,5, dotknuté produkty a riziko úniku NTLMv2 hashov.
Overené a aktualizované: 11. 11. 2026 06:23
