微软 11 月补丁日 Outlook 零日 CVE-2026-124194 已遭利用 中危评分挡不住它

这两天在给几台机器排补丁，翻到 11 月这批，第一条就有点别扭：微软把 Outlook 一个已经在野利用的漏洞定成中危，CVSS 6.5。按分数排队，它得排到几十个 8 分以上的洞后面去。

漏洞编号 CVE-2026-124194，微软自己的标题是 Microsoft Outlook Spoofing Vulnerability，CWE 归到 CWE-356，产品 UI 未对可能不安全的行为给出提示。按 MSRC 公告的说法：未认证的攻击者发一个特制的邮件文件，诱使用户在受影响的 Outlook 里打开；打开之后 Outlook 会连接到一个攻击者控制的网络位置，而且不显示平时那个外部内容警告，这次连接会把用户的 NTLMv2 哈希交给对方。



公告里两句 FAQ 值得单独拎出来。一句是预览窗格不是攻击向量，也就是说必须真的打开文件，光标停一下不算。另一句解释了为什么保密性给到 C:H：这个漏洞会把用户的 NTLMv2 哈希泄露给攻击者，攻击者可以拿它冒充该用户。哈希到手之后能干什么不用多说，中继或者离线爆破都行，而且这批哈希在改密码之前一直是有效的。

评级这块，两个机构给的不是一个口径，我不合并。MSRC 页面上的字段是：严重性 Moderate，CVSS 3.1 基础分 6.5，向量 CVSS:3.1/AV:N/AC/PR:N/UI:R/S:U/C:H/I:N/A:N，时间分 6.2，利用状态 Exploitation Detected，公开披露 No。马来西亚 MyCERT 的公告 MA-1506.112026 把它的风险级别写成 HIGH，理由是入口是一个用户会打开的文件，产出的又是一份可复用的凭据。

CISA 在 11 月 10 日当天把它收进 KEV。我在 KEV 的 JSON 里核过一遍：catalogVersion 2026.11.10，共 1779 条，这条的 dateAdded 是 2026-11-10，dueDate 是 2026-11-24。联邦民事机构两周内修完，这个节奏本身就是信号，比 CVSS 分数有用。

受影响产品我用 MSRC 的 affectedProduct 接口逐条拉了，六行：Microsoft 365 企业版 32 位和 64 位各一行，Office LTSC 2021 的 32 位与 64 位，Office LTSC 2024 的 32 位与 64 位。修复版本是 LTSC 2021 对应 16.0.14334.21048，LTSC 2024 对应 16.0.17932.21140；M365 企业版这一栏微软没给具体 build，只给了 aka.ms/OfficeSecurityReleases 的跳转，意思是按你自己的更新通道去对。

这里是我这次排补丁最容易踩的坑。我一开始以为把 Windows 的累积更新打上就完了，对着版本号核了半天才发现，这个洞的修复在 Office 通道里，Windows 更新打了也不管用。反过来讲，只查 Windows 的补丁合规报表，是看不见这批 Outlook 客户端的，得单独去读 Office 的 build。

同批不止这一条。11 月 10 日发布、同样 9.8 的还有两条。CVE-2026-119958，Windows LDAP 越界写入，向量 CVSS:3.1/AV:N/AC/PR:N/UI:N/S:U/C:H/I:H/A:H，不需要认证也不需要交互，域控上这条不能等。CVE-2026-116928，Windows Search 远程代码执行，同样 9.8、同样 AV:N/AC/PR:N/UI:N。关于后者，有报道说可以经 Exchange 索引附件触发、收件人不用打开，这句我只在二手报道里看到，微软公告的 FAQ 我没核到对应表述，所以当线索不当结论。AD DS 那两条：CVE-2026-118146 是 8.8 的远程代码执行（PR），CVE-2026-118148 是 7.5 的提权（AC:H），别看着分数低就往后放。Exchange 的 CVE-2026-118207 是 8.8，修复在 Exchange SE RTM 的 15.02.2562.057，对应 KB5133453。

每月都有人问这批到底多少个洞。我把 MSRC 的 CVRF 文档拉下来数了一遍——11 月 12 日修订、第 234 版——按 CVE 编号去重是 1439 条记录。媒体普遍引用的是微软发布说明里的 1094 个 Microsoft CVE，ZDI 按自己的统计口径算 1090，还有媒体把重新发布的第三方条目算进去报到 1235。四个数看着打架，其实是四把尺子：CVRF 里还含 Edge 和重新发布的第三方条目，发布说明只算微软自家的。我帖子里只写能逐条对上的编号，不做总数断言。

我这边的处理顺序是这样。先确认 Outlook 的版本，不是看 Windows 版本，LTSC 2021 对 16.0.14334.21048，LTSC 2024 对 16.0.17932.21140，M365 走更新通道对 build；域控先打 11 月累积更新，LDAP 那条 9.8 是无认证无交互的；Exchange 除了 Windows CU 还要装 SE 的 KB5133453；装完回读版本号，更新部署报告说成功不算成功；补丁到位之前，对外来的 msg 附件先拦一道，别指望用户不点。

顺带一句，Windows 10 22H2 这轮的修复版本是 19045.7846，对应 KB5131096。我手上那台 22H2 停在 19045.7807，还没到这根线。第二篇里我把那台机器上关于 NTLM 的实测过程写下来了，这篇就不重复。

来源：
1. Microsoft Security Update Guide，CVE-2026-124194（2026-11-10 发布，2026-11-13 查阅）https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194
2. MSRC 漏洞库 affectedProduct 接口，CVE-2026-124194 受影响产品与修复版本（2026-11-13 查阅）https://api.msrc.microsoft.com/sug/v2.0/en-US/affectedProduct
3. MSRC CVRF 文档 2026-Nov，第 234 版修订 2026-11-12 https://api.msrc.microsoft.com/cvrf/v3.0/document/2026-Nov
4. CISA Known Exploited Vulnerabilities 目录，catalogVersion 2026.11.10（2026-11-13 查阅）https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
5. MyCERT Advisory MA-1506.112026（2026-11-10）https://mycert.org.my/portal/advisories?id=431fab9c-d24c-4a27-ba93-e92edafdefa5
6. SecurityWeek 对本月补丁的统计，经 threatticker 与 carthageelectronics 两处转述（二手，仅用于数量口径对照，未取得原文）https://threatticker.com/news/microsoft-s-november-update-patches-1-094-flaws-including-an-actively-exploited
7. FreeBuf 对 Outlook 零日与 KEV 收录的报道（中文二手，用于交叉核对修复版本）https://www.freebuf.com/news/512276.html

HKTULU
2026-11-13