Microsoft corrige mais de mil vulnerabilidades, incluindo zero-day explorada no Outlook

A Microsoft corrigiu 1.094 vulnerabilidades na atualização de segurança de novembro de 2026, incluindo uma falha zero-day no Outlook que está a ser explorada em ataques. A vulnerabilidade, identificada como CVE-2026-124194, pode permitir a um atacante obter informações de autenticação de um utilizador e utilizá-las para tentar fazer-se passar pela vítima.

A falha apresenta uma classificação CVSS de 6,5, correspondente a gravidade moderada, e resulta da ausência de um aviso de segurança antes de o Outlook executar determinadas ações potencialmente perigosas. Segundo a Microsoft, um atacante não autenticado pode enviar um ficheiro de mensagem especialmente preparado e convencer o destinatário a abri-lo numa versão vulnerável da aplicação.

Ao abrir o ficheiro, o Outlook pode estabelecer uma ligação a um recurso de rede controlado pelo atacante sem apresentar o aviso habitual relativo a conteúdos externos. Este comportamento permite a exposição do hash NTLMv2 do utilizador, que poderá ser utilizado em tentativas de autenticação e de usurpação de identidade.

A Microsoft esclarece que a vulnerabilidade não pode ser explorada através do painel de pré-visualização do Outlook, sendo necessária a abertura do ficheiro malicioso. A empresa confirmou ter conhecimento de exploração ativa, mas não forneceu informações sobre os responsáveis pelos ataques, as organizações afetadas ou a dimensão da campanha.

Falha afeta Microsoft 365 e versões empresariais do Office

A CVE-2026-124194 afeta diferentes versões do Outlook, incluindo as disponibilizadas através do Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024. A vulnerabilidade não tinha sido divulgada publicamente antes da disponibilização da correção, pelo que foi classificada como zero-day devido à exploração identificada pela Microsoft.

No aviso de segurança, a empresa explica que a falha pode permitir a divulgação de informações de autenticação sem que o utilizador seja alertado para a ligação estabelecida com um recurso externo. Embora o ataque exija interação da vítima, a exploração pode ser desencadeada pela abertura de um ficheiro recebido através de uma mensagem maliciosa.

A Microsoft atribuiu a descoberta da vulnerabilidade a um investigador identificado como “nono” e a Benoît Sevens. No reconhecimento atribuído a Sevens, a empresa refere também a utilização do modelo de Inteligência Artificial (IA) Claude, da Anthropic, no trabalho de investigação.

A utilização de IA na identificação de vulnerabilidades tem vindo a ganhar relevância na investigação de segurança, permitindo apoiar tarefas de análise de código e deteção de comportamentos inesperados. Neste caso, contudo, a Microsoft não detalhou de que forma o modelo foi utilizado nem qual o seu contributo específico para a descoberta.

Windows concentra mais de 700 vulnerabilidades corrigidas

O pacote de atualizações de novembro abrange um conjunto alargado de produtos e serviços da Microsoft. O Windows concentra 726 vulnerabilidades, seguindo-se o Office, com 174, e o SQL Server, com 59.

A empresa corrigiu ainda 53 vulnerabilidades em ferramentas de desenvolvimento, 27 no SharePoint Server, 20 no Azure e nove no Exchange Server. A atualização inclui também a republicação de 165 identificadores CVE associados a componentes de terceiros, não contemplando as vulnerabilidades do Chrome.

O resumo de segurança da Microsoft identifica atualizações classificadas como críticas para diferentes versões do Windows 10, Windows 11 e Windows Server, incluindo as edições Server 2016 a 2025. A lista abrange igualmente o Office, Exchange Server Subscription Edition, Microsoft Edge e Malware Protection Engine, além de serviços como Azure OpenAI e Azure Managed Grafana.

A dimensão do pacote reflete a diversidade de produtos abrangidos, embora o número total de vulnerabilidades não corresponda necessariamente ao número de falhas com o mesmo nível de gravidade ou de exposição. A exploração confirmada da CVE-2026-124194 torna a atualização do Outlook particularmente relevante para as organizações que utilizam as versões afetadas.

Apesar do elevado número de correções, o lançamento de novembro fica abaixo do registado em outubro, quando a Microsoft corrigiu 1.413 vulnerabilidades, estabelecendo um novo máximo mensal. Com as atualizações agora disponibilizadas, a empresa ultrapassou as 5.000 vulnerabilidades corrigidas desde o início de 2026.

Windows 11 23H2 Enterprise e Education chegam ao fim das atualizações

As atualizações de novembro representam também o último pacote mensal de segurança para as edições Enterprise e Education do Windows 11 versão 23H2. Segundo a Microsoft, os dispositivos que continuem a utilizar estas edições deixarão de receber atualizações mensais de segurança após este lançamento.

Esta situação exige atenção das organizações que ainda mantêm equipamentos com a versão afetada, uma vez que a ausência de novas correções poderá aumentar progressivamente a exposição a vulnerabilidades descobertas no futuro.

Para as equipas de IT e cibersegurança, a prioridade deverá passar pela identificação dos sistemas abrangidos pelas atualizações de novembro, com especial atenção às instalações vulneráveis do Outlook e aos equipamentos que se aproximam do fim do suporte.

No caso da CVE-2026-124194, a exploração ativa confirmada pela Microsoft reforça a necessidade de aplicar rapidamente a correção. Embora a vulnerabilidade dependa da abertura de um ficheiro malicioso, a possibilidade de exposição de credenciais de autenticação representa um risco para as organizações, sobretudo em ambientes empresariais onde estas informações podem ser utilizadas para aceder a outros recursos da rede.