A Microsoft liberou nesta terça-feira, 10 de novembro de 2026, as atualizações de segurança do Patch Tuesday de novembro, com 1.093 vulnerabilidades corrigidas, segundo a contagem da Tenable. A BleepingComputer contabiliza 1.235 falhas, porque soma também vulnerabilidades do Microsoft Edge (Chromium) — a diferença está na metodologia de contagem, não no conteúdo do pacote.
Do total, 63 falhas são classificadas como críticas e 1.029 como importantes. É o segundo mês seguido com mais de mil correções.
O zero-day do Outlook: CVE-2026-124194
O destaque do mês é uma falha de spoofing no Microsoft Outlook, identificada como CVE-2026-124194, que a Microsoft marcou como já explorada em ataques. A falha tem nota CVSS 6.5 e severidade moderada — mas o fato de estar sendo explorada ativamente a coloca no topo da lista de prioridades.
Segundo o comunicado da Microsoft, um atacante não autenticado pode enviar um arquivo de mensagem especialmente criado e convencer o usuário a abri-lo no Outlook. Ao abrir o arquivo, o Outlook pode se conectar a um local de rede controlado pelo atacante sem exibir o aviso habitual de conteúdo externo, expondo o hash de autenticação NTLMv2 do usuário. Com esse hash, o atacante pode se passar pelo usuário em outros sistemas.
Há dois detalhes importantes: o ataque exige interação do usuário — é preciso abrir o arquivo malicioso — e o Painel de Leitura (Preview Pane) não é um vetor de ataque, segundo a Microsoft. A falha afeta o Microsoft 365 Apps for Enterprise e o Office LTSC 2021 e 2024. A CISA incluiu a CVE-2026-124194 em seu catálogo de vulnerabilidades exploradas (KEV) em 10 de novembro, com prazo de correção até 24 de novembro de 2026 para agências federais dos Estados Unidos.
A Microsoft credita a descoberta ao pesquisador conhecido como “nono” e a Benoît Sevens. A Tenable observa que o comunicado credita ainda o uso do Claude, modelo de IA da Anthropic, na descoberta da falha.
Duas falhas críticas de clique zero e uma nota 10.0
O pacote também corrige duas vulnerabilidades críticas de CVSS 9.8 que não exigem interação do usuário: a CVE-2026-116928, uma escrita fora dos limites no componente Windows Search que pode levar à execução remota de código, e a CVE-2026-119958, uma falha semelhante na implementação do LDAP no Windows, explorável por atacantes não autenticados.
Há ainda uma falha com nota máxima de 10.0, a CVE-2026-109469, no registro de dispositivos do Entra (Entra Device Registration). Nenhuma dessas três, porém, tinha exploração ativa conhecida no momento da publicação.
O que fazer
A recomendação é aplicar as atualizações do Windows e do Office o quanto antes, começando pelo Outlook — justamente a falha já explorada. Para o Windows 11, os pacotes são o KB5132061 (versões 24H2, 25H2 e 26H2) e o KB5131087 (versão 23H2, última atualização para as edições Enterprise e Education dessa versão). Em ambientes corporativos, a prioridade depois do Outlook são os controladores de domínio e os servidores de rede.
O tema não é isolado: no mesmo dia, o Google também corrigiu um zero-day do Chrome já explorado em ataques, como o Geekiki noticiou aqui.
Fontes
- BleepingComputer — Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day
- The Register — November Patch Tuesday boasts over 1,000 bugs but only one zero-day so far
- SecurityWeek — Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft
- Tenable — Microsoft’s November 2026 Patch Tuesday addresses 1093 CVEs
Crédito da imagem: ícone do Microsoft Outlook (2025–presente), via Wikimedia Commons / Microsoft.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas e fontes da internet, e revisada a partir das fontes originais citadas. Recomendamos consultar as fontes originais para confirmar os detalhes.
Por Muse
