026 年 11 月 Patch Tuesday 深度复盘

2026 年 11 月

一、事件背景

2026 年 11 月 10 日，微软发布 11 月补丁星期二更新，共修复 1,094 个漏洞，连续第二个月修复量破千（10 月为 1,413 个）。这一批里只有一个漏洞在发布时就被微软官方确认已在真实攻击中被利用------它不是某个满分 RCE，而是一个 CVSS 只有 6.5 的 Outlook「欺骗」漏洞：CVE-2026-124194。

微软给它的定级看起来不起眼，但它干的事很实在：诱导用户在经典版 Outlook 中打开一个构造的消息文件，Outlook 就会在没有任何警告的情况下静默连接攻击者控制的服务器，把用户的 NTLMv2 哈希送出去。登录凭据泄露，后续就是离线爆破或 NTLM 中继接管内网。微软自己标注「已在利用中」的补丁星期二漏洞，历来是最高的响应优先级。

|------------|-----------------------------------------------------------------------|
| 项目 | 内容 |
| CVE 编号 | CVE-2026-124194 |
| 漏洞类型 | 欺骗（Spoofing）------绕过外联警告，泄露 NTLMv2 凭据 |
| CVSS | 6.5（Moderate，微软标注 Exploited: Yes） |
| 在野利用 | 已确认（微软官方确认，发布当天入 CISA KEV） |
| 修复期限 | 美国联邦机构限 2026-11-24 前完成（BOD 26-04） |
| 受影响产品 | 经典版 Outlook：Microsoft 365 Apps for enterprise、Office LTSC 2021 / 2024 |
| 不受影响 | 新版 Outlook（New Outlook）与 Outlook 网页版 |

二、漏洞原理：一次点击，送出登录凭据

正常情况下，经典版 Outlook 在即将连接外部（用户组织之外）的网络位置时，会弹一个「此项目包含指向外部位置的内容」之类的警告，用户可以拒绝。CVE-2026-124194 的问题就在于：攻击者可以构造一个消息文件，让这个警告完全不出现在用户面前，Outlook 直接按消息中指定的地址发起连接。

2.1 完整攻击链

攻击者向目标发送一个精心构造的消息文件（典型如 .msg 附件），通常伪装成工作文档、订单确认、发票邮件。
受害者用经典版 Outlook 打开该文件。注意：预览窗格（Preview Pane）无法触发漏洞，必须双击真正打开。
Outlook 静默连接攻击者控制的服务器（常见为 SMB 目标，也可配合 WebDAV），由于外部内容警告被绕过，用户毫无感知。
连接过程中，Windows 按默认机制自动携带 NTLMv2 应答，攻击者就此拿到用户登录凭据的哈希。
攻击者离线暴力破解还原明文密码，或直接做 NTLM 中继（Relay），把哈希投给内网其他服务，在不解密的情况下以受害者身份登录。

2.2 为什么 CVSS 6.5 却必须当天修

微软官方确认在野利用 + 当天进 KEV，这条组合就是最高优先级的代名词。
它打的是「人」这一环：不需要服务器侧漏洞，一封邮件一次点击即可触发，钓鱼成本极低。
后果是域凭据泄露：在 Windows 域环境里，一个用户的 NTLMv2 哈希可以被中继成内网横向移动的入场券，威胁等级远超 6.5 分给人的直觉。
修复随 Office 更新通道走，不随 Windows 更新走------只打 Windows 补丁的机器自以为安全，实际还裸奔着，这是本次补丁周期最大的管理陷阱。

三、自查：确认哪些机器需要修

3.1 确认 Outlook 类型

先分清机器上跑的是不是经典版。文件 → Office 账户页若显示「Outlook（经典）」或只有 Office 版本号，即经典版；界面标题带「(New Outlook)」或纯浏览器形态（OWA）则不在受影响范围。混合环境按最坏情况处理：全部排查。

3.2 确认 Office 版本号

IT 管理员可用注册表批量核查 ClickToRun 更新通道的实际版本（在管理终端上执行）：

reg query "HKLM\SOFTWARE\Microsoft\Office\ClickToRun\Configuration" /v VersionToReport

也可用 PowerShell 批量拉取（域环境配合远程执行）

powershell -c "(Get-ItemProperty \\localhost\HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration).VersionToReport" 2>nul

普通用户直接看：文件 → Office 账户 → 关于 Outlook，记下版本号与内部版本号。

VersionToReport REG_SZ 16.0.19426.20158

3.3 判定标准

以微软 11 月 10 日更新公告（Office 更新频道列表）为对照：当前内部版本号低于当日对应通道的修复版本，即为未修复，需要更新。拿不准就执行一次「立即更新」后再复核版本号------这是最不会出错的验证方式。

四、修复：注意打的是 Office 更新

这是本篇最重要的操作要点：修复随 Office / Microsoft 365 Apps 更新发布，不随 Windows 更新发布。单独跑 Windows Update 或只更新操作系统，漏洞依然在。

4.1 单机更新（终端用户）

打开任意 Office 应用（推荐直接用 Outlook），进入文件 → 账户。
点击更新选项 → 立即更新，等待更新完成。
更新完成后重启 Outlook，回到账户页确认版本号已变化，即修复到位。

4.2 管理员批量推送

部署/托管机器用 Office 部署工具触发更新

setup.exe /configure config-update.xml

SCCM / Intune 环境直接下发 Microsoft 365 Apps 更新组，

并以 3.2 节的注册表版本号作为修复验收依据

4.3 验收闭环

以注册表 VersionToReport 逐台核对，不留「以为更新了」的机器------一台漏网的经典版 Outlook 就够攻击者打穿钓鱼入口。
CISA 给美国联邦机构的期限是 11-24，企业内网建议比照执行：一周内清零。

五、缓解措施：打不上补丁时的四道闸

补丁无法立即覆盖（如兼容性冻结、终端离线）时，按优先级启用以下缓解：

5.1 阻断出站 SMB（最有效）

漏洞的价值在于把 NTLMv2 哈希送到攻击者手里，最常用的通道是 SMB（TCP 445）。在工作站防火墙阻断到外部网络的 445 出站，攻击链当场报废：

工作站本地防火墙阻断出站 445（PowerShell 管理员）

powershell -c "New-NetFirewallRule -DisplayName 'Block-Outbound-SMB' -Direction Outbound -Protocol TCP -RemotePort 445 -Action Block"

注意仅阻断到外网/非信任网段的 445，别把内域文件共享一并断掉；对没有外联需求的终端，连内网 445 白名单一起收紧更好。

5.2 中继防护：签名与 EPA

启用 SMB 签名与 LDAP 签名，让拿到的哈希无法中继回内网服务。
在 Exchange 与 AD CS 上启用扩展身份保护（EPA）------这两类服务是 NTLM 中继的高价值目标。

5.3 压缩 NTLM 使用面

排查仍依赖 NTLM 的账户与应用（Windows 事件 4624 登录类型与 LAPS/审计工具均可识别 NTLM 会话），逐步迁移到 Kerberos。NTLM 退场是治本，本次事件只是又一次催票。

5.4 邮件侧拦消息文件

邮件网关对外部来源的 .msg 等消息文件附件做标记、隔离或剥离。
同步向全员发一条预警：收到 .msg/.eml 附件不要双击打开，先经 OWA 预览或转交安全团队------本漏洞必须真正打开文件才触发，这一步就能掐断。

六、应急 SOP 视角：这次的三个教训

别只盯分数：6.5 分的漏洞配「官方确认在野利用」，响应优先级高于 9.8 分但没人打的漏洞。KEV 目录和微软 Exploited 标记才是排期依据，CVSS 只是参考。
认清补丁归属：本例修复在 Office 更新通道。企业里 Windows 补丁与 Office 更新常常是两条流水线、两个负责人，漏一条就等于没修------验收必须以终端上的实际版本号为准，而不是以「更新任务下发成功」为准。
凭据型漏洞要配套缓解：即便打了补丁，出站 SMB 阻断、SMB/LDAP 签名、EPA、NTLM 缩减这四项也值得做------它们防的不只是这一个 CVE，而是整类「让 Windows 自动送哈希」的攻击（从古老的 UNC 注入到本次零日，手法一脉相承）。

一句话总结：CVE-2026-124194 告诉我们，最高危的不是分数最高的漏洞，而是攻击者已经在用、而你的更新流水线又没覆盖到的那一个。11 月 24 日前，把每台经典版 Outlook 的版本号核一遍。

Outlook 零日漏洞应急实战CVE-2026-124194（在野利用 · CISA KEV）

目 录