微軟 11 月定期更新修補已遭利用的 Outlook 漏洞 CVE-2026-124194
原始來源： The Record · 2026/11/10
微軟於 2026/11/10 釋出 11 月定期安全更新。The Record 與 Tenable 統計此次公告 1,093 項漏洞，SecurityWeek 統計為 1,094 項；Tenable 指出其中 63 項列為嚴重。微軟表示僅 CVE-2026-124194（Outlook 詐騙／假冒類漏洞，CVSS 6.5）已遭實際利用：未經驗證的攻擊者寄出特製郵件檔，若使用者在受影響版本的 Outlook 開啟，系統可能在未顯示常見外部內容警示的情況下，連到攻擊者控制的網路位置，進而外洩可用於假冒該使用者的驗證資訊（NTLMv2 雜湊）。CISA 已將其列入已知遭利用漏洞清單，美國聯邦機關修補期限為 11/24。受影響產品包括 Microsoft 365 Apps for Enterprise、Office LTSC 2021 與 Office LTSC 2024。
重點先看
微軟 11 月定期更新修補已遭利用的 Outlook 漏洞 CVE-2026-124194。請立即套用更新，並避免開啟來路不明的郵件檔。
發生了什麼
依 The Record、Tenable 與 SecurityWeek 於 2026/11/10 整理，微軟釋出 11 月定期安全更新，項目數再次超過 1,000 項。The Record 與 Tenable 的統計為 1,093 項，SecurityWeek 為 1,094 項；Tenable 並指出其中 63 項列為嚴重、1,029 項為重要。微軟表示，此次僅 CVE-2026-124194 已在野外遭到利用。 該漏洞影響 Microsoft Outlook，CVSS 為 6.5，屬中度／詐騙（Spoofing）類。微軟說明：未經驗證的攻擊者可寄出特製郵件檔，並誘使使用者在受影響版本開啟；開啟後，Outlook 可能在未顯示常見外部內容警示的情況下，連到攻擊者控制的網路位置，進而揭露可用於假冒該使用者的驗證資訊。SecurityWeek 引述微軟說明，此漏洞會向攻擊者揭露使用者的 NTLMv2 雜湊，攻擊者可能據此以該使用者身分進行驗證；預覽窗格無法觸發此漏洞。CISA 已將其列入已知遭利用漏洞（KEV）清單，美國聯邦機關須於 11/24 前完成修補。
影響範圍與其他更新
依 NVD 轉述之微軟公告，受影響產品包括 Microsoft 365 Apps for Enterprise，以及 Office LTSC 2021 與 Office LTSC 2024（各有對應的最低安全版本門檻）。企業應以官方安全更新指南確認自身版本是否已涵蓋修補。 除 Outlook 已遭利用的項目外，本月更新涵蓋 Windows、Office、SQL Server、SharePoint 與開發工具等多個產品。Tenable 統計權限提升約占近半，遠端程式碼執行約占兩成七。此次更新數量連續第二個月超過 1,000 項，資安團隊仍應優先處理已遭利用項目，並依暴露面排程其餘嚴重漏洞。
建議立即處置
使用 Outlook 與 Microsoft 365／Office 的單位，建議依序處理： 1. 立即依微軟安全更新指南，為 Microsoft 365 Apps for Enterprise、Office LTSC 2021 與 Office LTSC 2024 套用 11 月更新，並確認版本已達修補門檻。 2. 提醒同仁不要開啟來路不明或非預期的郵件檔、訊息檔；微軟指出預覽窗格無法觸發此漏洞，但仍應避免下載不明附件。 3. 監看開啟郵件檔後出現的異常對外連線，以及短時間大量 NTLM 驗證或異常登入。 4. 若無法排除已被利用，應重設相關帳號密碼、撤銷工作階段，並檢查是否有遭假冒後的橫向活動。 5. 同步檢視本月其他嚴重更新的適用範圍，依資產暴露面排定修補順序。
為什麼重要
此漏洞的 CVSS 並非最高，但微軟已確認遭到實際利用，而且利用條件是「誘使人員開啟特製郵件檔」，屬於企業日常就會遇到的社交工程路徑。一旦驗證資訊外洩，攻擊者可能假冒該使用者進入內部系統，影響會從單一信箱擴大到身分與權限。 建議立即完成更新，並以 DevaEye MDR 託管防護持續監看可疑郵件檔開啟後的異常連線、驗證與後續行為。
Cloudforce 可以協助哪些？
針對此次 Outlook 已遭利用漏洞與後續假冒風險，對應方案為： 1. DevaEye MDR 託管防護：提供 7×24 監控與研判，偵測可疑郵件檔開啟後的異常連線、異常驗證與可能的帳號假冒行為；一旦確認事件，由同一團隊協助隔離、調查與應變。請注意：套用官方更新仍是首要處置，MDR 用於監控與事件應變，不能取代修補。
常見問題
這次更新最需要先修哪一項？
微軟表示此次僅 CVE-2026-124194（Outlook）已遭實際利用，應優先套用。其餘尚有多項嚴重漏洞，需依資產暴露面一併排程。
只要預覽郵件就會被利用嗎？
依 SecurityWeek 轉述的微軟說明，預覽窗格無法觸發此漏洞；攻擊需使用者在受影響版本開啟特製郵件檔。
會外洩什麼資訊？
微軟說明可能揭露可用於假冒使用者的驗證資訊；SecurityWeek 引述為 NTLMv2 雜湊，攻擊者可能據此以該使用者身分驗證。
CISA 的 11/24 期限對臺灣企業有約束力嗎？
該期限約束美國聯邦機關，但列入 KEV 代表已確認遭利用，臺灣企業仍應比照優先修補。
DevaEye MDR 託管防護能如何協助？
可監看可疑郵件檔開啟後的異常連線、異常驗證與後續行為，並在確認事件後協助應變。套用官方更新仍是首要工作。