Microsoft ha rilasciato una correzione per una vulnerabilità di Outlook sfruttata attivamente, che può esporre informazioni di autenticazione quando un utente apre un file dannoso. Il suo avviso del 10 novembre sostiene che gli attaccanti potrebbero usare tali informazioni per impersonare l'utente, rendendo l'aggiornamento una priorità per le organizzazioni che utilizzano versioni di Outlook interessate.
La falla, CVE-2026-124194, ha una gravità Moderata e un punteggio base del Common Vulnerability Scoring System di 6,5 su 10. Lo sfruttamento richiede sia la connettività di rete sia che un utente apra il file. Microsoft afferma esplicitamente che il riquadro di anteprima di Outlook non è un vettore di attacco.
La correzione fa parte di un ampio rilascio di sicurezza di novembre. Le note di rilascio dell'11 novembre di Microsoft elencano 1.094 CVE Microsoft (identificativi assegnati alle vulnerabilità) e 165 CVE non Microsoft ripubblicati. Nel complesso, questi dati corrispondono alle 1.259 voci riportate da The Hacker News, che ha descritto novembre come il secondo mese consecutivo sopra quota 1.000.
Come funziona l'attacco a Outlook
Un attaccante non ha bisogno di un account né di un accesso preesistente per inviare un file di messaggio appositamente costruito e convincere qualcuno ad aprirlo in un'installazione vulnerabile di Outlook. Aprirlo potrebbe far connettere Outlook a una posizione di rete controllata dall'attaccante, senza mostrare il consueto avviso sui contenuti esterni.
Microsoft afferma che tale connessione può rivelare l'hash NTLMv2 dell'utente, un'informazione di autenticazione che un attaccante potrebbe usare per autenticarsi come la vittima. Il rischio concreto va quindi oltre la visualizzazione di contenuti fuorvianti: aprire il file potrebbe esporre informazioni utilizzabili per l'impersonificazione.
Al momento della pubblicazione originale, il 10 novembre, Microsoft ha segnalato la vulnerabilità come sfruttata e non precedentemente divulgata pubblicamente. L'azienda riconosce il merito della segnalazione a nono e Benoît Sevens, che hanno usato Claude di Anthropic.
La Cybersecurity and Infrastructure Security Agency statunitense (CISA) ha aggiunto la falla di Outlook al catalogo Known Exploited Vulnerabilities il 10 novembre, citando prove di sfruttamento attivo. The Hacker News riporta una scadenza per la correzione fissata al 24 novembre 2026 per le agenzie federali; tale requisito si applica alle agenzie del Federal Civilian Executive Branch, e non alle organizzazioni in generale.
L'avviso della CISA descrive la Binding Operational Directive 26-04 come un provvedimento che impone a quelle agenzie di dare priorità alle vulnerabilità ad alto rischio del catalogo che interessano asset esposti pubblicamente e che, dopo lo sfruttamento, concedono il controllo totale, rinviando quelle a rischio più basso. Prevede inoltre che, prima di applicare le correzioni, si verifichi se gli attaccanti hanno compromesso i sistemi. La CISA incoraggia le altre organizzazioni a dare priorità alle vulnerabilità censite nel catalogo attraverso una gestione del rischio basata sull'analisi dei rischi.
Anche falle critiche interessano l'elaborazione lato server
Diverse altre correzioni di novembre riguardano l'esecuzione di codice da remoto, che può consentire a un attaccante di eseguire codice su un sistema vulnerabile. Tre avvisi di Microsoft mostrano perché gli amministratori devono valutare il servizio interessato e i prerequisiti dell'attacco insieme ai punteggi di gravità.
Windows Search: CVE-2026-116928. Microsoft classifica questa vulnerabilità come Critica, con un punteggio base di 9,8. Il suo avviso descrive una scrittura fuori dai limiti (out-of-bounds write), ossia un'operazione sulla memoria al di fuori del confine previsto, nel componente Windows Search usato da Microsoft Exchange Server.
Un attaccante non autenticato potrebbe inviare un'email con un allegato appositamente costruito. Exchange elabora automaticamente l'allegato per l'indicizzazione, quindi il destinatario non dovrebbe aprire né l'email né l'allegato. Uno sfruttamento riuscito potrebbe eseguire codice con i permessi del servizio di elaborazione. Al momento della pubblicazione, Microsoft non ha registrato sfruttamenti né divulgazioni pubbliche precedenti e ha valutato lo sfruttamento come meno probabile.
Windows LDAP: CVE-2026-119958. Anche questa vulnerabilità Critica ha un punteggio base di 9,8. LDAP, il Lightweight Directory Access Protocol, serve ad accedere alle informazioni di directory. L'avviso di Microsoft descrive un'altra scrittura fuori dai limiti: un attaccante non autenticato potrebbe inviare chiamate LDAP appositamente costruite ed eseguire codice nel contesto di sicurezza del servizio LDAP. Non è richiesta alcuna interazione dell'utente. Microsoft non ha registrato sfruttamenti né divulgazioni pubbliche precedenti e ha valutato lo sfruttamento come meno probabile al momento della pubblicazione.
Windows Schannel: CVE-2026-119952. Microsoft classifica questa vulnerabilità come Critica, con un punteggio base di 8,1, e ha valutato lo sfruttamento come più probabile, sebbene al momento della pubblicazione non avesse registrato sfruttamenti né divulgazioni pubbliche precedenti. L'avviso descrive una discrepanza temporale osservabile e afferma che un attaccante non autenticato potrebbe inviare un pacchetto di rete appositamente costruito a un servizio interessato per eseguire codice senza interazione dell'utente.
Lo sfruttamento di Schannel ha una condizione aggiuntiva: devono essere presenti particolari impostazioni o configurazioni del protocollo. Microsoft afferma che tali requisiti riducono la probabilità di attacchi diffusi od opportunistici.
The Hacker News ha inoltre evidenziato le correzioni per l'esecuzione di codice da remoto in Windows Virtual Filtering Platform, CVE-2026-95962, e nel Windows Xbox Live Networking Service, CVE-2026-112967, oltre a una falla di escalation dei privilegi in Azure OpenAI, CVE-2026-119990. L'escalation dei privilegi consente a un attaccante di ottenere permessi maggiori.
Le priorità per gli amministratori
Le cifre di Microsoft per famiglia di prodotti includono 726 vulnerabilità di Windows, 174 in Office, 59 in SQL Server, 53 in Developer Tools, 27 in SharePoint Server, 20 in Azure, nove in Exchange Server, una in Defender e 25 classificate come Other. The Hacker News riporta che più di 500 falle riguardano l'escalation dei privilegi, seguite dall'esecuzione di codice da remoto e dalla divulgazione di informazioni. Cita il ricercatore di Tenable Satnam Narang, secondo cui Microsoft quest'anno ha affrontato più di 5.100 CVE.
Per la fase di triage, Jake Knott, responsabile della threat intelligence di watchTowr, ha detto a The Hacker News che i team dovrebbero partire dai sistemi esposti su internet, poi dalle vulnerabilità già sfruttate, e verificare se utilizzano il componente vulnerabile e soddisfano i relativi prerequisiti di sfruttamento.
Gli amministratori dovrebbero applicare la correzione per Outlook e gli aggiornamenti di novembre applicabili ai prodotti in uso. Microsoft afferma che gli aggiornamenti di Windows 10 e Windows 11 sono cumulativi, includendo correzioni di sicurezza precedenti e modifiche non legate alla sicurezza, e insiste sull'installazione dell'ultimo servicing stack update, che supporta l'installazione degli aggiornamenti di Windows. I clienti di Windows Server 2008 e 2008 R2 hanno bisogno degli Extended Security Updates per continuare a ricevere aggiornamenti di sicurezza.
Prima della distribuzione, verificate i problemi noti elencati da Microsoft per SQL Server 2025 CU10 e 2022 CU27; Windows Server 2025, incluse le distribuzioni Hotpatch; Windows Server 2022, 2019 e 2016; Windows 10 versioni 1809, 21H2, 22H2 e 1607; e gli aggiornamenti di .NET 9.0 e 8.0. Microsoft indirizza gli amministratori alla scheda Deployments della Security Update Guide e alla colonna Known Issues per i dettagli.
