Patch Tuesday de novembro: zero-day no Outlook em ataque

O Patch Tuesday de novembro de 2026, liberado pela Microsoft em 10 de novembro, trouxe o maior lote de correções do ano e uma única falha sob ataque confirmado: a CVE-2026-124194, de falsificação no Outlook. A CISA incluiu essa vulnerabilidade no catálogo de falhas exploradas no mesmo dia, com prazo de 24 de novembro para órgãos federais norte-americanos.

A análise da Cisco Talos, publicada em 10 de novembro, destaca 37 vulnerabilidades que a Microsoft classifica como de exploração “mais provável” e acompanha o lote com um conjunto de regras Snort. Vale um alerta de contexto: os levantamentos independentes divergem no total de falhas do mês, e o número exato depende de como cada um conta re-publicações e CVEs de terceiros.

Dois dias depois, a própria Microsoft reconheceu dois efeitos colaterais do pacote — falhas de impressão e problemas de ativação em ambientes corporativos. Isso muda a recomendação prática: aplicar rápido, sim, mas com janela de teste.

Quantas falhas tem o Patch Tuesday de novembro

A Talos registra 1.095 vulnerabilidades, das quais 64 críticas e 48 de execução remota de código entre as críticas. O levantamento da SOCRadar aponta 1.094 falhas e 63 críticas. Outras publicações chegam a 1.093 e algumas registram números bem mais altos, acima de 1.200. As próprias metatags da página da Talos trazem um número diferente do corpo do texto.

Não há como fechar esse número aqui com precisão: a contagem depende de critérios (CVEs de componentes de terceiros, correções re-emitidas, itens de serviços em nuvem que não exigem ação do cliente). O que é seguro afirmar é a ordem de grandeza — pouco mais de mil CVEs — e que isso está muito acima da média histórica de um Patch Tuesday. Para decidir prioridade, o guia oficial de atualizações de segurança da Microsoft é a referência, não os resumos.

A única falha explorada: CVE-2026-124194

É uma vulnerabilidade de spoofing no Microsoft Outlook, catalogada como CWE-356 (ausência de interação do usuário em ação potencialmente insegura), com CVSS 3.1 de 6,5 — nota moderada. A nota baixa é enganosa quanto ao risco real, porque a falha está em uma proteção que deixa de funcionar.

O mecanismo: a vítima abre um arquivo de mensagem preparado pelo atacante e o Outlook conecta a um local de rede controlado por ele sem exibir o aviso de conteúdo externo. Essa conexão vaza o hash NTLMv2 do usuário, material que pode ser levado para quebra de senha offline ou para ataques de repasse de autenticação. Segundo o levantamento da SOCRadar, o painel de visualização não é vetor — é preciso abrir o arquivo.

Um detalhe operacional costuma passar batido e vale destaque: a correção vem pelos canais de atualização do Office (Microsoft 365 Apps for Enterprise e Office LTSC 2024), não pelo pacote cumulativo do Windows. Quem só valida o status do Windows Update pode concluir que está protegido sem estar.

As notas mais altas do lote

Nenhuma das falhas abaixo tem exploração registrada até agora, mas elas concentram o maior potencial de dano.

Dois pontos merecem leitura atenta. A CVE-2026-116928, no componente de busca do Windows, é alcançável através do Exchange Server e sem interação do usuário — quem administra Exchange precisa aplicar tanto a atualização do Windows quanto a do Exchange. A CVE-2026-119958, no LDAP, pode ser disparada por atacante não autenticado pela rede, o que a coloca na frente da fila em qualquer ambiente com controladores de domínio alcançáveis.

Chama atenção também que a CVE-2026-120002, do SharePoint, receba nota 9,9 e seja classificada pela Microsoft apenas como “importante”. Divergências entre a nota CVSS e a classificação do fabricante são comuns, e o critério de priorização interno de cada organização deve considerar as duas informações.

Exploração “mais provável” segundo a Microsoft

Entre as 37 falhas nessa faixa, a Talos destaca cinco de maior gravidade:

• CVE-2026-118146 e CVE-2026-118148 — Active Directory Domain Services, execução remota (8,8) e elevação de privilégio (7,5), ambas por autorização incorreta.
• CVE-2026-118207 — Exchange Server, execução remota (8,8), por resolução incorreta de nome ou referência.
• CVE-2026-113862 — Windows NAT, execução remota por uso após liberação (8,1).
• CVE-2026-119952 — Windows Schannel, execução remota a partir de discrepância observável de temporização (8,1).

A lista de “mais provável” é dominada por elevação de privilégio em componentes do Windows: Installer, kernel, Print Spooler, Task Scheduler, SMB Client, HTTP.sys, Graphics Kernel, Telephony Service, entre outros. Há ainda duas falhas no Visual Studio Code, uma de execução remota e uma de desvio de recurso de segurança. Esse perfil indica o uso típico: não é por aí que o atacante entra, é por aí que ele sobe de privilégio depois de entrar.

Detecção e cobertura

A Talos publicou regras para acompanhar as tentativas de exploração deste lote: 34 identificadores para Snort 2 e 18 para Snort 3, incluindo as regras 116:96 e 116:97, presentes nos dois conjuntos. A lista completa de identificadores está no post original. Não há menção a assinaturas ClamAV para este Patch Tuesday.

Os efeitos colaterais já confirmados

A Microsoft reconheceu dois problemas causados pelo pacote:

• Impressão. Em Windows 10 ou superior e Windows Server 2016 ou superior, documentos que contenham imagens com altura ou largura zero na resolução de impressão escolhida podem falhar ao imprimir. O caso mais comum é o de documentos do Word impressos pelo GDI. A Microsoft associa a falha a imagens de dimensão zero, usadas em recursos como marcas d’água invisíveis, ancoragem de layout e ferramentas de geração de documentos. O alerta de serviço é o WI1549472.
• Ativação e licenciamento. Em Windows 10 21H2/22H2, Windows 11 23H2 e Windows Server 2019, 2022 e 2025, comandos de ativação podem retornar o erro 0x80041008 (“Invalid parameter (SWbemObjectEx)”). Os casos relatados envolvem slmgr.vbs /skms-domain e slmgr.vbs /ipk, o que afeta principalmente quem automatiza ativação ou usa KMS. Máquinas já ativadas continuam ativadas. A Microsoft informou que a correção sairá nos próximos dias e orientou quem precisa de mitigação imediata a acionar o suporte corporativo.

Impactos, limitações e recomendações

O volume do lote é o problema prático central: com mais de mil CVEs, triagem manual não escala e a tentação de “aplicar tudo de uma vez” colide com os efeitos colaterais já conhecidos. O caminho razoável é separar o que tem prazo e exploração confirmada do que é correção de rotina.

• Atualizar primeiro os canais do Office, para fechar a CVE-2026-124194. O prazo da CISA para órgãos federais dos EUA é 24 de novembro e serve como referência de urgência para qualquer organização.
• Priorizar, em seguida, controladores de domínio e servidores Exchange (CVE-2026-116928, CVE-2026-119958, CVE-2026-118146, CVE-2026-118207), lembrando que o Exchange exige a atualização do Windows e a do próprio produto.
• Revisar a exposição de LDAP e de serviços de diretório a redes não confiáveis.
• Testar o pacote em um grupo-piloto que inclua impressão a partir do Word e, em ambientes com KMS, validar a ativação antes da implantação ampla.
• Reduzir o risco do vazamento de NTLMv2: restringir saída SMB para a internet, avaliar assinatura SMB e autenticação estendida, e monitorar autenticações de origem incomum.
• Carregar as regras Snort divulgadas pela Talos e verificar os indicadores no guia oficial de atualizações de segurança da Microsoft antes de encerrar o ciclo.

É importante registrar o que não está confirmado: não há relato público de exploração em massa da CVE-2026-124194, nem indicação de uso por grupos de ransomware — o campo correspondente no catálogo da CISA está marcado como desconhecido. Segundo o levantamento da SOCRadar, nenhuma falha do lote havia sido divulgada publicamente antes da correção.

Conclusão

Novembro combina um lote historicamente grande, uma falha explorada de nota baixa mas com prazo curto, meia dúzia de vulnerabilidades de nota quase máxima em serviços de identidade e nuvem, e dois efeitos colaterais confirmados pelo próprio fabricante. O que acompanhar: a chegada da correção para o problema de ativação, eventual aparecimento de prova de conceito pública para as falhas de nota 9,8 em LDAP e Windows Search, e a consolidação do número oficial de CVEs do mês no guia da Microsoft.

Fontes e referências

• Cisco Talos — “Microsoft Patch Tuesday for November 2026 — Snort rules and prominent vulnerabilities”: blog.talosintelligence.com
• SOCRadar — “November 2026 Patch Tuesday: 1,094 Flaws, One Exploited”: socradar.io
• CISA — “Known Exploited Vulnerabilities Catalog”: cisa.gov
• BleepingComputer — “Microsoft says November security updates cause printing issues”: bleepingcomputer.com
• BleepingComputer — “Microsoft confirms Windows activation failures after November updates”: bleepingcomputer.com
• Microsoft — Security Update Guide: msrc.microsoft.com