发生了什么
微软在 2026 年 11 月 10 日的月度安全更新（补丁日）中修复了 Microsoft Outlook 欺骗漏洞 CVE-2026-124194。微软将其标记为“Exploitation Detected”（已检测到利用），这是本月微软发布中唯一一项标记为已利用的漏洞。CISA 已于同日（2026 年 11 月 10 日）将该漏洞列入已知被利用漏洞目录（KEV），联邦机构修复期限为 2026 年 11 月 24 日。
该漏洞评级为 Moderate，CVSS 3.1 评分为 6.5（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N），弱点类型为 CWE-356（产品界面未对不安全操作发出警告）。微软表示该漏洞未被公开披露，攻击者身份与受影响用户数量未公开。
影响范围
受影响的产品为 Microsoft 365 Apps for Enterprise（32 位与 x64）以及 Office LTSC 2021、Office LTSC 2024。微软确认，以下版本之前的版本受影响：Office LTSC 2021 低于 16.0.14334.21048；Office LTSC 2024 低于 16.0.17932.21140。
从概念上讲，攻击者可以发送一份特制消息文件并诱使用户在受影响的 Outlook 中打开。打开文件后，Outlook 可能在不显示常规外部内容警告的情况下连接攻击者控制的网络位置，从而泄露认证信息——微软明确指出，该漏洞会泄露用户的 NTLMv2 哈希，攻击者可用其冒充该用户进行认证。微软同时明确，预览窗格不是该漏洞的攻击向量：仅预览邮件不会触发，只有打开特制消息文件才会。
修复版本
修复已随 2026 年 11 月 10 日的安全更新发布，各通道的修复版本如下：
- Microsoft 365 Apps for Enterprise（当前频道）：Version 2610（Build 20527.20196）
- Microsoft 365 Apps for Enterprise（月度企业频道）：Version 2610（Build 20527.20194）
- Office LTSC 2021（批量许可）：Version 2108（Build 14334.21048）
- Office LTSC 2024（批量许可）：Version 2408（Build 17932.21140）
自查与升级步骤
- 打开 Outlook，依次点击“文件”→“Office 帐户”，查看当前 Office 版本与内部版本号，确认是否已达到上述修复版本。
- 在同一页面点击“更新选项”→“立即更新”，安装 2026 年 11 月 10 日的安全更新，完成后重启 Outlook。
- 管理员可通过 Microsoft 365 管理中心或组织内的更新通道统一推送 11 月更新，并抽查终端版本号确认覆盖。
- 在完成更新之前，对来历不明的消息文件保持警惕：不要打开不明来源通过邮件发送的消息文件；不要仅凭发件人显示名称判断邮件可信。
- 如果怀疑已有终端在更新前打开过可疑消息文件，建议联系组织管理员评估是否需要轮换相关凭证并检查异常登录。
与本栏目其他指南一致：本文只讲防御——受影响版本、修复版本与自查步骤，不写利用细节。