أصلحت Microsoft في 10 نوفمبر 2026 ثغرة في تطبيق Outlook تحمل المعرف CVE-2026-124194، وتقول في نشرتها الأمنية إنها رصدت استغلالها فعلياً. وتصنف الشركة الثغرة ثغرة انتحال بتقييم 6.5 بمعيار CVSS 3.1، أي بشدة متوسطة، إذ تكشف بيانات مصادقة المستخدم ولا تنفذ أوامر.
بحسب النشرة، يرسل مهاجم غير مصادق ملف رسالة مصمماً خصيصاً ويقنع المستخدم بفتحه في إصدار متأثر من Outlook. عند فتحه قد يتصل Outlook بموقع شبكي يتحكم به المهاجم دون عرض تحذير المحتوى الخارجي المعتاد، وتصنف Microsoft الخلل ضمن CWE-356، أي أن واجهة المنتج لا تحذر المستخدم من إجراء غير آمن. وتنفي الشركة أن تكون معاينة الرسائل (Preview Pane) ناقلاً للهجوم، فالخطر يبدأ عند فتح الملف نفسه.
والمكشوف هو NTLMv2 hash لحساب المستخدم، وتقول Microsoft إن المهاجم يمكنه استخدامه للمصادقة باسم المستخدم. ولا تعد الثغرة تنفيذ أوامر عن بعد، إذ تقيم الشركة أثرها على سرية البيانات بأنه عال دون أثر مباشر على سلامتها أو توفرها. ويتطلب الاستغلال اتصالاً شبكياً وتفاعلاً من المستخدم.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
تشمل المنتجات المتأثرة Microsoft 365 Apps for Enterprise وOffice LTSC 2021 وOffice LTSC 2024، بنسختي 32 و64 بت لكل منها. وأصدرت Microsoft الإصلاح في 10 نوفمبر على 16.0.14334.21048 لـ Office LTSC 2021 و16.0.17932.21140 لـ Office LTSC 2024.
وأدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الثغرة في فهرس الثغرات المستغلة فعلياً (KEV) في 10 نوفمبر، وحددت 24 نوفمبر مهلة للجهات الاتحادية الأمريكية لتطبيق الإصلاح.
ولم تنشر Microsoft أي تفاصيل علنية عن الهجمات المرصودة، ولا عن الجهة التي تقف خلفها أو عدد المتضررين.
