Office Watch повідомляє: у класичному Outlook для Windows (CVE-2026-124194) зловмисники використовують вразливість, що змушує програму без попередження під’єднатися до сервера нападника та передати NTLMv2‑хеш вашого пароля. Виправлення входить до листопадового оновлення Office.
Хто під загрозою
Йдеться про класичний Outlook для Windows у складі Microsoft 365 і Office. У списку Microsoft — Microsoft 365 Apps, Office LTSC 2024 та Office LTSC 2021 (32- і 64-розрядні). Також уразливі Outlook у складі Office 2021 та Office 2024 з разовою покупкою.
- Microsoft 365 (класичний Outlook): оновіть Office негайно.
- Office 2024 / Office 2021 / Office LTSC 2024 / Office LTSC 2021: оновіть Office негайно.
- Office 2019 та Office 2016: підтримку завершено 14 жовтня 2025 — виправлення не буде; імовірно вразливі.
- New Outlook for Windows — не застосовується до цієї вразливості.
- Outlook on the web, Outlook for Mac, iPhone та Android — у переліку Microsoft не згадуються.
Навіть якщо ви користуєтесь New Outlook, класичний Outlook часто лишається встановленим поряд. Якщо він є на ПК — оновіть Office.
Як оновити й перевірити версію
Автооновлення може тривати днями чи тижнями — запустіть його вручну. У класичному Outlook (або Word/Excel) виберіть Файл (File) → Обліковий запис (Office Account), далі Параметри оновлення (Update Options) → Оновити зараз (Update Now). Після перезапуску перевірте номер збірки в About Outlook.
- Поточний канал (Current Channel): 2610 (20527.20196) або новіша
- Канал щомісячних оновлень для підприємств (Monthly Enterprise Channel): 2610 (20527.20194), 2609 (20430.20264) або 2608 (20326.20320)
- Напіврічний канал (Semi‑Annual Enterprise Channel): 2610 (20527.20192), 2609 (20430.20262) або 2608 (20326.20318)
- Office LTSC 2024: 2408 (17932.21140)
- Office LTSC 2021: 2108 (14334.21048)
Як працює атака
Потрібна одна дія користувача — відкрити вкладений файл у класичному Outlook. Після цього Outlook звертається до ресурсу нападника, минаючи звичне попередження, а Windows автоматично надсилає NTLMv2‑хеш. З ним можуть зламати слабкий пароль або релєювати в мережі на служби, що приймають NTLM. Перегляд у області читання без відкриття вкладення безпечний.
Наскільки це серйозно
За даними Office Watch, Microsoft оцінює проблему як Moderate із CVSS 6.5, але це єдина вада в листопадовому релізі, підтверджено експлуатована в атаках. CISA зобов’язала федеральні агентства США встановити виправлення до 24 листопада 2026. Хто стоїть за атаками і скільки вони тривають — Microsoft не розкриває; зрілість коду експлойту оцінено як High.
