微軟／官方：十一月安全更新修補一千零九十四項漏洞——Outlook 詐騙漏洞 CVE-2026-124194 已知遭利用，可外洩 NTLMv2 雜湊

重點摘要

微軟於二零二六年十一月十日（太平洋時間上午八時，即香港時間十一月十一日凌晨）發布十一月安全更新，官方安全更新指南寫明此次共涵蓋一千零九十四項微軟漏洞，並把 Outlook 詐騙漏洞 CVE-2026-124194 列為本期值得注意的項目，標示「Exploitation Detected」（已知遭利用）。官方諮詢確認攻擊者可誘使使用者開啟特製郵件檔或 Office 檔案，令 Outlook 在未顯示慣常外部內容警告下連線至攻擊者控制的網絡位置，從而外洩可用於冒認使用者的 NTLMv2 雜湊；預覽窗格並非攻擊途徑。來源真實性已驗證：一級來源為微軟安全更新指南十一月發布說明與 CVE-2026-124194 官方諮詢，並以微軟 Learn 同日 Office 安全更新說明交叉核對編號與組建。

微軟／官方：十一月安全更新修補一千零九十四項漏洞——Outlook 詐騙漏洞 CVE-2026-124194 已知遭利用，可外洩 NTLMv2 雜湊

微軟於二零二六年十一月十日（太平洋時間上午八時，即香港時間十一月十一日凌晨）發布十一月安全更新，官方安全更新指南寫明此次共涵蓋一千零九十四項微軟漏洞，並把 Outlook 詐騙漏洞 CVE-2026-124194 列為本期值得注意的項目，標示「Exploitation Detected」（已知遭利用）。官方諮詢確認攻擊者可誘使使用者開啟特製郵件檔或 Office 檔案，令 Outlook 在未顯示慣常外部內容警告下連線至攻擊者控制的網絡位置，從而外洩可用於冒認使用者的 NTLMv2 雜湊；預覽窗格並非攻擊途徑。來源真實性已驗證：一級來源為微軟安全更新指南十一月發布說明與 CVE-2026-124194 官方諮詢，並以微軟 Learn 同日 Office 安全更新說明交叉核對編號與組建。

微軟／官方：十一月安全更新修補一千零九十四項漏洞——Outlook 詐騙漏洞 CVE-2026-124194 已知遭利用，可外洩 NTLMv2 雜湊

微軟於二零二六年十一月十日太平洋時間上午八時，透過安全更新指南發布〈November 2026 Security Updates〉。官方發布說明開宗明義寫道，此次發行包含一千零九十四項微軟 CVE，並在「Notable CVEs」一欄單列 CVE-2026-124194（Microsoft Outlook Spoofing Vulnerability），狀態為 Exploitation Detected。同一份 CVE 諮詢把「exploited」標為 Yes、把「publiclyDisclosed」標為 No，嚴重程度為 Moderate，基礎 CVSS 分數為 6.5，時間分數為 6.2，影響類型為詐騙（Spoofing），並標示客戶須採取行動。本文只轉述官方已載明的數量、產品範圍、評分與利用狀態，不臆造攻擊規模、活動歸因、受害數字，或官方尚未公開的利用程式細節。

一、核心事件：十一月更新把已知遭利用的 Outlook 漏洞列為重點

技術細節

官方發布說明把一千零九十四項微軟 CVE 按產品族劃分如下：Windows 七百二十六項、Office 一百七十四項、SQL Server 五十九項、開發者工具五十三項、SharePoint Server 二十七項、其他二十五項、Azure 二十項、Exchange Server 九項、Defender 一項。說明亦寫明，微軟同時再刊一百六十五項非微軟 CVE，並註明名單不含 Chrome 漏洞。上述總數與分項均以這份官方發布說明為準，不採用第三方媒體另行加總的數字。

就 CVE-2026-124194，官方諮詢的弱點描述是：Microsoft Office Outlook 的產品介面未就不安全操作向使用者發出警告，使未經授權的攻擊者可經網絡實施詐騙。弱點類型列為 CWE-356（Product UI does not Warn User of Unsafe Actions）。官方常見問題進一步說明攻擊條件與後果：未經驗證的攻擊者可向使用者傳送特製的郵件檔（message file），並說服對方在受影響版本的 Outlook 中開啟；開啟該檔後，Outlook 可能在未顯示慣常外部內容警告的情況下，連線至攻擊者控制的網絡位置，從而洩露可用於冒認該使用者的驗證資訊。官方同時寫明，利用此漏洞需要網絡連線與使用者互動；預覽窗格並非攻擊途徑。針對 CVSS 中「需要使用者互動（UI:R）」的含義，官方說明攻擊者必須向使用者傳送惡意 Office 檔，並說服對方開啟。針對「機密性可能遭受重大損失（C:H）」的含義，官方明確寫道：此漏洞會向攻擊者揭露使用者的 NTLMv2 雜湊，攻擊者可用該雜湊以該使用者身分驗證。

官方安全更新指南列明，此編號的受影響並已修復產品為 Microsoft 365 Apps for Enterprise（三十二位元及六十四位元），以及 Microsoft Office LTSC 2024 與 Microsoft Office LTSC 2021（同樣涵蓋三十二位元及六十四位元版本）；後兩者的修復組建分別為 16.0.17932.21140 與 16.0.14334.21048。微軟 Learn 同日〈Release notes for Microsoft Office security updates〉亦把 CVE-2026-124194 列於二零二六年十一月十日的 Outlook 項目，並為當日 Office 安全更新列出各通道組建，其中包括 Current Channel 版本 2610（組建 20527.20196）。企業應以安全更新指南就該 CVE 列明的產品與組建為準，核對實際安裝的 Microsoft 365 或 LTSC 版本，而不能把當日其他產品族的一般更新清單，直接當成此編號的修復範圍。

二、技術原理深度解析

NTLMv2 是 Windows 環境常見的質詢／回應式驗證機制。當用戶端連線至遠端檔案分享或其他要求 Windows 驗證的網絡位置時，系統可能自動嘗試以目前使用者的身分回應質詢，過程會送出該帳戶的 NTLMv2 雜湊。攻擊者若能在己方控制的位置接收這次驗證嘗試，便可能取得該雜湊，並在後續嘗試冒認該使用者。官方把此次後果限定為「揭露 NTLMv2 雜湊、可用於以該使用者身分驗證」，並未描述雜湊是否已被破解、是否已出現權限提升或橫向移動，也未公布攻擊是否以釣魚郵件大規模散布。因此，技術上應把「開啟特製檔案後，Outlook 在未顯示慣常警告下連出並洩露 NTLMv2 雜湊」視為已確認的機制，而不要把一般通行雜湊攻擊的後續步驟，寫成此編號已證實的影響。

官方同時強調兩項限制，有助判斷實際暴露面。第一，預覽窗格不是攻擊途徑，代表僅在閱讀窗格預覽郵件並不足以觸發；使用者必須開啟該檔。第二，利用需要網絡連線，代表若該次連出被攔截或該主機無法連上攻擊者控制的位置，官方所描述的資訊外洩路徑便無法完成。這也解釋了為何官方把嚴重程度定為 Moderate（基礎分數 6.5），卻仍把利用狀態標為已知遭利用，並要求客戶採取行動：風險不在於無需互動的遠端自動中招，而在於日常開啟郵件或 Office 附件的行為，足以成為已觀察到的攻擊入口。

對依賴 Outlook 與 Windows 網域帳戶的機構而言，修補此編號的意義，是堵住「開啟惡意檔案即可在缺乏慣常警告下把驗證資料送出」的路徑。完成更新之後，仍應檢視對外連線、附件開啟政策與 NTLM 使用範圍，但不能把這些周邊措施寫成官方為此漏洞公布的必要步驟；官方目前要求的，是採取行動安裝對應安全更新。

四、日常應用場景

1. 開發者與技術團隊

開發、測試與持續整合環境若安裝 Microsoft 365 Apps 或 Office LTSC，應把映像與還原點對照官方列明的已修復產品與組建，避免測試機、封包機器或遠端開發主機仍運行未修補的 Outlook。自動化流程若會以 Outlook 或 Office 開啟郵件檔、.msg 或其他 Office 文件，應先完成更新再處理來源不完全可信的樣本。此漏洞的觸發條件包含開啟檔案，測試環境亦不應為了方便而關閉安全更新或長期停留在舊組建。

2. 企業與隱私敏感行業

金融、法律、醫療與政府承辦商幾乎都以 Outlook 處理對外郵件與附件。管理層應以裝置管理或軟體資產清單，核對 Microsoft 365 Apps for Enterprise，以及仍在使用的 Office LTSC 2024／2021，是否已到達官方列明的已修復狀態，並要求使用者重新啟動 Outlook 與相關 Office 行程以載入新組建。官方標示客戶須採取行動，且確認已知遭利用，補丁窗口應優先處理這些受影響產品，而不是等待更多未公開的攻擊細節。機構亦可同步檢視是否仍允許出站 NTLM、以及使用者開啟來路不明附件的指引，但這些是加固措施，不能代替安裝官方更新。

3. 一般用戶

個人或小型公司若使用 Microsoft 365 應用程式或上述 LTSC 版本的 Outlook，應透過官方更新通道安裝十一月安全更新，並在更新後重新啟動 Outlook。官方說明攻擊需要使用者開啟特製檔案，因此在完成更新前，應避免開啟來源不明的郵件附件或他人傳來的 Office 檔。官方並未在此諮詢中要求強制重設密碼，也未描述具體釣魚文案；目前最直接的防護是完成對應更新，而不是依據未經核實的流傳步驟自行設定。

4. 香港與亞洲市場視角

Outlook 與 Microsoft 365 是香港企業、專業服務機構與公共部門的主流電郵與辦公套件，亦常見於遠端桌面與虛擬應用。本港團隊應把此次更新納入例行補丁窗口，並在資產清單中同時記錄「已安裝組建」與「正在執行的 Outlook 行程」。由於官方確認此漏洞已知遭利用，而且觸發方式與日常開啟附件相符，資訊保安與郵箱管理不應只檢查伺服器端，也要核對末端 Office 組建。亞太其他同樣大量部署 Microsoft 365 的機構，應以微軟安全更新指南就該 CVE 列明的產品為準，而不是把第三方報道中的總漏洞數或額外詮釋當成修復依據。

五、專業評價與潛在考量

優勢

  • 一級來源為微軟安全更新指南發布說明與 CVE 諮詢，一千零九十四項微軟 CVE 的總數與產品族分項、以及 CVE-2026-124194 的利用狀態、分數與受影響產品均有正式記錄，便於企業據此核對資產。
  • 官方清楚寫明攻擊需要使用者開啟檔案、預覽窗格不是途徑，以及外洩的是 NTLMv2 雜湊，減少把「已知遭利用」誤解成無需互動的遠端入侵。
  • 安全更新指南已把 Microsoft 365 Apps for Enterprise 與兩條 LTSC 產品線標為已修復，並提供 LTSC 的修復組建號，方便資產管理對帳。
  • 官方在修補發布前將 publiclyDisclosed 標為 No，代表細節並非先以公開披露再補丁，有助降低尚未更新端點被對照利用的機會。

需要留意的地方

  • 官方未描述已觀察到的攻擊規模、攻擊者身分、是否已出現密碼破解或橫向移動，不能把一般 NTLM 轉送或雜湊破解的後續劇本，寫成此編號已證實的影響。
  • 嚴重程度為 Moderate，並不代表可以延後處理；官方同時標示已知遭利用，以及客戶須採取行動。
  • 此 CVE 的官方受影響產品清單只包括 Microsoft 365 Apps for Enterprise 與 Office LTSC 2024／2021，不能把當日 Windows、Exchange 或其他產品族的更新，直接當成這個 Outlook 編號的修復範圍。
  • 第三方媒體對本月更新總數的統計方法並不一致，本文只採用官方發布說明的一千零九十四項微軟 CVE，以及再刊的一百六十五項非微軟 CVE。

結語

十一月安全更新把一千零九十四項微軟漏洞一次送出，並把已確認遭利用的 Outlook 詐騙漏洞 CVE-2026-124194 列為本期重點：攻擊者可誘使使用者開啟特製檔案，在缺乏慣常警告下讓 Outlook 連出並洩露 NTLMv2 雜湊。對香港的企業與個人用戶，眼前最務實的一步是核對 Microsoft 365 或相關 LTSC 組建是否已修復，更新後重新啟動 Outlook，並暫時提高對來路不明附件的警覺。若機構需要在本港加強終端、雲端與網絡邊界的補丁與存取管控，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA，https://ysk.hk/services/cloud-security）。

參考來源

延伸閱讀 · 相關服務與產品

相關文章