Outlook: חולשה מנוצלת מדליפה את גיבובי ה-NTLMv2 של המשתמשים, ו-Microsoft מתקנת אותה

מעקב הסייבר של Top-Secured: ניתוח עצמאי המבוסס על המקורות המפורטים בהמשך. Top-Secured אינה קשורה לחברות המוזכרות ולעולם לא תבקש מכם פרטי בנק או סיסמאות.

עדכוני נובמבר 2026 של Microsoft מתקנים את CVE-2026-124194, חולשה ב-Outlook שלדברי היצרנית כבר מנוצלת. קובץ זדוני שנפתח ב-Outlook גורם לו להתחבר לשרת של התוקף בלי האזהרה הרגילה ולמסור לו את גיבוב ה-NTLMv2 של המשתמש; CISA הוסיפה את החולשה לקטלוג החולשות המנוצלות.

מה קרה

ב-10 בנובמבר 2026 פרסמה Microsoft את עדכוני האבטחה החודשיים שלה. לפי The Record הם מטפלים ב-1,093 חולשות, יותר מאלף זה החודש השני ברציפות. ביניהן, Microsoft מסמנת את CVE-2026-124194 ב-Outlook כחולשה שכבר מנוצלת. באותו יום הוסיפה אותה הסוכנות האמריקאית CISA לקטלוג החולשות המנוצלות, ונתנה לסוכנויות הפדרליות עד 24 בנובמבר לתקן. לא Microsoft ולא CISA מסרו מי עומד מאחורי ההתקפות או מי היו היעדים.

איך התוקפים מנצלים אותה

Microsoft מתארת את התרחיש: התוקף שולח קובץ זדוני ומשכנע את המשתמש לפתוח אותו ב-Outlook. התוכנה מתחברת אז למיקום רשת שבשליטת התוקף, בלי להציג את האזהרה הרגילה על תוכן חיצוני. תוך כך היא חושפת את גיבוב ה-NTLMv2 של המשתמש, שהתוקף יכול להשתמש בו כדי להזדהות בשמו. התוקף אינו זקוק לחשבון, אבל הקורבן חייב לפתוח את הקובץ: חלונית התצוגה המקדימה אינה וקטור תקיפה. Microsoft נותנת לחולשה ציון 6.5 מתוך 10 ומדרגת אותה כבינונית, אך גיבוב גנוב יכול לפתוח דלת לשירותים נוספים בארגון.

המוצרים המושפעים לפי Microsoft: Microsoft 365 Apps for Enterprise (32 ו-64 ביט), Office LTSC 2024 ו-Office LTSC 2021.

מה לעשות עכשיו

1. עדכנו את Office: גרסת build 16.0.17932.21140 ומעלה ל-Office LTSC 2024, ו-16.0.14334.21048 ומעלה ל-Office LTSC 2021; ב-Microsoft 365 Apps, גרסת האבטחה של נובמבר בערוץ העדכונים שלכם. בדקו ב-Outlook תחת קובץ > חשבון Office > אודות Outlook.
2. ודאו שהעדכונים באמת מגיעים לתחנות: התקנות Click-to-Run נשארות לעיתים בגרסה ישנה כשמדיניות דוחה עדכונים.
3. חסמו SMB יוצא (TCP 445) לאינטרנט בחומת האש: זו הדרך הנפוצה ביותר לשלוח גיבובי NTLM החוצה.
4. צרפו את חשבונות הניהול והחשבונות הרגישים לקבוצה Protected Users, שמונעת מהם אימות NTLM, ותכננו צמצום של השימוש ב-NTLM בדומיין.
5. הזכירו לעובדים לא לפתוח קבצים מצורפים לא צפויים, גם משולח מוכר.

הדעה שלנו

חולשה שמדורגת בינונית אבל כבר מנוצלת ראויה ליותר תשומת לב מחולשה קריטית שאיש אינו משתמש בה. עדכון תחנות העבודה הוא חלק מאבטחת השרתים: גיבוב NTLM שדלף הוא לעיתים קרובות הצעד הראשון לעבר שרת הקבצים או בקר התחום.

מקורות

• Microsoft MSRC — Microsoft Outlook Spoofing Vulnerability (CVE-2026-124194)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-124194 (Microsoft Office Outlook)
• The Record — Microsoft’s Patch Tuesday surpasses 1,000 bugs for second month in a row

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←