CVE-2026-124194: viene sfruttato lo spoofing di Outlook - aggiornamento e verifica della versione di Office

Microsoft ha pubblicato gli aggiornamenti di sicurezza per CVE-2026-124194 il 10 novembre 2026. La vulnerabilità in Microsoft Office Outlook consente a un aggressore non autenticato di effettuare spoofing tramite la rete in presenza di interazione dell’utente. Sono interessati Microsoft 365 Apps for Enterprise e Microsoft Office LTSC 2021 e 2024. NVD valuta la vulnerabilità con CVSS 3.1: 6.5 (Medio); Microsoft indica che lo sfruttamento è stato rilevato e CISA l’ha inserita nel catalogo KEV il 10 novembre 2026. Gli aggiornamenti sono disponibili.

I punti principali in breve

Versioni interessate e aggiornamenti

Per Microsoft 365 Apps for Enterprise, Microsoft indica tra l’altro queste build al 10 novembre 2026: Current Channel 20527.20196, Monthly Enterprise Channel 20527.20194, 20430.20264 e 20326.20320, nonché Semi-Annual Enterprise Channel 20527.20192, 20430.20262 e 20326.20318. La build applicabile a un dispositivo dipende dal relativo canale di aggiornamento. Le note di rilascio sulla sicurezza di Office associano CVE-2026-124194 a Outlook.

Cosa si sa sullo sfruttamento

Microsoft elenca CVE-2026-124194 negli aggiornamenti di sicurezza del 10 novembre 2026 come caso con sfruttamento rilevato. CISA considera la vulnerabilità attivamente sfruttata e l’ha inserita nel catalogo KEV lo stesso giorno. Le voci consultate di Microsoft, NVD e CISA non contengono informazioni su aggressori, organizzazioni bersaglio, campagne di attacco o sul processo tecnico dello sfruttamento.

CISA contrassegna l’impiego in campagne ransomware come «Unknown». CISA non richiede un triage forense secondo BOD 26-04 per questa voce KEV.

Misure immediate

1. Rilevare le versioni di Office: Per Microsoft 365 Apps for Enterprise, individuate il canale di aggiornamento e la build installata. Per Office LTSC 2021 e 2024, confrontate la versione con le build corrette nella tabella.

2. Installare gli aggiornamenti di sicurezza: Portate Microsoft 365 Apps for Enterprise al livello di sicurezza del 10 novembre 2026. Aggiornate Office LTSC 2021 almeno alla build 14334.21048 e Office LTSC 2024 almeno alla build 17932.21140.

3. Documentare lo stato degli aggiornamenti: Registrate per ogni dispositivo prodotto, architettura, canale di aggiornamento, build presente e momento dell’aggiornamento. Ciò consente di tracciare lo stato delle installazioni di Office interessate.

4. Gestire le installazioni non aggiornabili: CISA richiede alle agenzie federali statunitensi di attuare le misure del produttore entro il 24 novembre 2026 oppure di cessare l’utilizzo se non sono disponibili misure. Per tutte le organizzazioni, questo è un motivo per sostituire tempestivamente o dismettere le installazioni di Office non aggiornabili.

Le Fonti aperte del produttore e delle autorità non indicano un workaround tecnico, una modifica della configurazione o una limitazione di un’interfaccia di gestione di Outlook. La misura contro questa vulnerabilità è quindi l’aggiornamento dell’installazione di Office interessata.

Verifica di compromissione

Microsoft, NVD e CISA non pubblicano nelle Fonti consultate per CVE-2026-124194 Indicators of Compromise, nomi di file, indirizzi IP o firme di log. Pertanto, allo stato dell’11 novembre 2026 non è possibile prescrivere una ricerca di IOC basata sulle Fonti.

Verificate comunque lo stato di aggiornamento di tutte le installazioni di Office interessate e conservate i registri di sicurezza di endpoint ed e-mail esistenti secondo la vostra regola di conservazione. Le Fonti disponibili non descrivono una backdoor né procedure di bonifica dopo uno sfruttamento riuscito. Un aggiornamento corregge la vulnerabilità, ma non fornisce prova del fatto che una determinata operazione sia già stata abusata.

Contestualizzazione

Sono interessate organizzazioni e singoli che utilizzano Outlook all’interno di Microsoft 365 Apps for Enterprise o Office LTSC 2021 oppure 2024. Secondo il vettore CVSS, la vulnerabilità richiede l’interazione dell’utente, ma non richiede privilegi e può essere sfruttata tramite la rete. L’inserimento nel catalogo CISA KEV mostra che lo sfruttamento è noto e che l’aggiornamento ha priorità.