微軟於2026年11月10日發布例行安全更新，修補Outlook已遭實際利用的漏洞CVE-2026-124194。攻擊者可能誘使使用者開啟特製郵件檔案，使Outlook在未顯示正常安全警告的情況下存取外部網路位置，進而暴露NTLM驗證資訊。

 

【事件經過】

 

CVE-2026-124194涉及Outlook未適當警示危險操作的安全缺陷。攻擊者可製作特殊訊息檔案，誘使使用者透過Outlook開啟。

 

當程式連線至攻擊者控制的網路資源時，可能傳送NTLMv2驗證相關資料，使攻擊者有機會進一步濫用驗證資訊。

 

微軟已確認此漏洞存在實際利用活動。美國網路安全暨基礎設施安全局（CISA）也於11月10日將其列入已知遭利用漏洞清單（KEV）。

 

【影響範圍】

 

漏洞編號為CVE-2026-124194，CVSS v3.1評分6.5分，屬中度風險。

 

受影響產品包括Microsoft 365 Apps for Enterprise、Office LTSC 2021及Office LTSC 2024等版本。

 

漏洞利用需要使用者開啟惡意檔案，並非單純收到郵件就會自動遭入侵。其主要影響為驗證資訊可能洩漏，不能直接認定攻擊者已取得完整密碼或控制主機。

 

【建議措施】

 

資訊人員應優先部署微軟2026年11月安全更新，盤點Outlook及Office版本，確認端點已完成修補。

 

應檢查企業是否允許NTLM驗證資訊傳送至外部網路，並透過網路存取控制與驗證日誌監控降低風險。

 

更新後應確認安裝版本、更新通道及必要的重新啟動程序，避免僅完成補丁派送卻未實際套用。

 

同時提醒使用者勿開啟來源不明的郵件訊息檔案，並持續檢查異常驗證及帳號存取紀錄。

 

【國內機關與企業之影響與因應】

 

原文未提供台灣受害案例。

 

國內政府機關、金融業及企業若使用Outlook處理業務郵件，應將Office安全更新納入端點弱點管理，定期確認修補覆蓋率。

 

此外，可依適用的政府組態基準（GCB）或內部安全政策，檢查NTLM驗證設定、對外網路存取及郵件附件處理機制，降低驗證資訊遭濫用的風險。

 

【新聞出處】

 

媒體名稱：iThome

發布日期：2026年11月11日

原文網址：

https://www.ithome.com.tw/news/180405

 

官方補充資料：Microsoft Outlook Spoofing Vulnerability

漏洞編號：CVE-2026-124194

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194

 

CISA已知遭利用漏洞清單：

https://www.cisa.gov/known-exploited-vulnerabilities-catalog