Outlook 漏洞已被利用 打開一個檔案即洩露登入資料

Outlook 漏洞已被利用，打開一個檔案就洩露登入資料

Microsoft 在 2026 年 11 月 10 日發布每月安全更新，修補 Outlook 一個已被攻擊者利用的漏洞，編號 CVE-2026-124194。據科技網站 Notebookcheck 報道，Microsoft 的安全公告把發現者列為代號「nono」的研究員及 Benoît Sevens，後者的致謝寫明「using Claude with Anthropic」，即借助 Anthropic 的 AI 模型 Claude。公告沒有說明漏洞是否在攻擊進行期間被發現。

打開檔案，Outlook 就悄悄連上攻擊者的伺服器

Microsoft 指，攻擊者可以傳送一個特製的郵件檔案，誘使用戶在 Outlook 打開。Outlook 隨即連接攻擊者控制的網絡位置，卻不顯示平常的外部內容警告，令用戶的 NTLMv2 雜湊值（Windows 用來驗證登入身份的加密資料）外洩，攻擊者可藉此冒認用戶。只在預覽窗格顯示郵件不會觸發漏洞，用戶必須打開檔案。

Microsoft 把漏洞評為「中等」，CVSS 評分（漏洞嚴重程度評分，滿分 10 分）為 6.5。據科技網站 tbreak 引述 CSO Online 報道，攻擊者可把雜湊值用於在其他電腦登入，或破解還原密碼。Microsoft 沒有公布攻擊者身份及受害目標數目。美國網絡安全及基礎設施安全局（CISA）在 11 月 10 日把漏洞列入已知被利用漏洞名單，要求聯邦部門在 11 月 24 日前修補。

受影響版本與修補方法

Notebookcheck 指，Office 2016 及 Office 2019 不在受影響名單，但兩者自 2025 年 10 月起已沒有安全更新。

一個月修補逾千個漏洞

據英國《每日快報》報道，這次更新共修補 1,094 個漏洞，其中 63 個屬「嚴重」；Notebookcheck 引述安全公司 Tenable 的統計則為 1,093 個。Microsoft 在 2026 年 10 月修補了逾 1,400 個漏洞，創下紀錄。Notebookcheck 引述安全記者 Brian Krebs 指，一年前 Microsoft 平均每月修補約 100 個漏洞，公司把數量急增歸功於 AI 協助找出及修正漏洞。

來源

• Exploited Outlook zero-day was found by a researcher using Claude（Notebookcheck）
• Microsoft fixes exploited Outlook zero-day in Patch Tuesday of 1,094 flaws（tbreak）
• Critical warning issued to everyone with a Windows 11 laptop（Daily Express）