La zero-day Outlook con CVSS 6.5 è l'unica sfruttata nel Patch Tuesday da 1.094 CVE

Microsoft ha corretto 1.094 vulnerabilità a novembre 2026. La sola zero-day confermata attivamente sfruttata ha CVSS Moderate e espone hash NTLMv2.

Microsoft ha rilasciato il Patch Tuesday di novembre 2026 con 1.094 vulnerabilità corrette. Tra queste, 63 classificate Critical e una sola Moderate: CVE-2026-124194. Quest'ultima è anche l'unica zero-day confermata come sfruttata attivamente nel rilascio. Il caso ripropone una tensione nota ai team di sicurezza: il punteggio CVSS non coincide necessariamente con la priorità operativa.

Punti chiave

Microsoft ha corretto 1.094 CVE nel Patch Tuesday di novembre 2026, con 726 in Windows e 174 in Office.
CVE-2026-124194 è l'unica zero-day confermata come sfruttata attivamente, con CVSS 6.5 e classificazione Moderate.
Il vettore richiede l'apertura di un file messaggio craftato in Outlook; il Preview Pane è esplicitamente escluso.
CISA ha inserito la vulnerabilità nel catalogo KEV il 10 novembre 2026, con deadline federale al 24 novembre 2026.

Il meccanismo: NTLMv2 leak senza avviso

La vulnerabilità risiede nel modo in cui Outlook gestisce file messaggio appositamente confezionati. Quando l'utente apre il documento, l'applicazione si connette a una risorsa di rete controllata dall'attaccante senza mostrare l'avviso standard per contenuto esterno.

Il Microsoft Security Response Center descrive la sequenza: l'apertura del file "could cause Outlook to connect to an attacker-controlled network location without displaying the usual external-content warning, potentially disclosing authentication information that could be used to impersonate the user". Il dato esposto è l'hash NTLMv2 dell'utente. Secondo il medesimo advisory, "this vulnerability discloses a user's NTLMv2 hash to the attacker who could use this to authenticate as the user".

L'interazione umana è richiesta: l'utente deve aprire il file. Microsoft ha esplicitamente escluso il Preview Pane come vettore, con una FAQ che risponde: "No, the Preview Pane is not an attack vector".

"For the third month running, the bug attackers actually use carries a rating below Critical" — Shattered.io

I prodotti affetti e le build fix

I prodotti interessati sono Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024. Le build che correggono la vulnerabilità sono la 16.0.14334.21048 per LTSC 2021 e la 16.0.17932.21140 per LTSC 2024, secondo i record di CVE Security e Automox.

Sullo stato di Office LTSC 2021 persiste una tensione non risolta. La data di fine supporto fissata al 13 ottobre 2026 è già trascorsa, ma il prodotto compare nella lista delle versioni corrette. Le fonti non conciliano la data di fine supporto con la presenza del prodotto nella lista delle versioni patchate. Microsoft non ha chiarito il punto.

CISA KEV e la finestra di 14 giorni

L'inserimento nel catalogo Known Exploited Vulnerabilities di CISA è avvenuto il 10 novembre 2026, il medesimo giorno del rilascio Microsoft. La scadenza imposta alle agenzie federali è il 24 novembre 2026: 14 giorni per la remediation.

L'obbligo deriva dal Binding Operational Directive 26-04, il meccanismo con cui CISA impone priorità operative alla pubblica amministrazione americana. La finestra di 14 giorni esprime la gravità percepita dell'exploit attivo, indipendentemente dal punteggio CVSS.

Analisi: il disallineamento tra CVSS e exploit attivo

Il caso CVE-2026-124194 documenta un pattern ricorrente. Automox sintetizza il disallineamento: "The score stays low because nothing executes, but a working hash is a working login". Il CVSS 6.5 riflette l'assenza di esecuzione remota di codice e la necessità di interazione utente, ma non cattura la consequenzialità operativa di un hash NTLMv2 in mano a un attaccante.

Shattered.io ha osservato che per il terzo mese consecutivo la minaccia concretamente sfruttata porta un rating inferiore al massimo. A ottobre 2026 il record di 1.413 CVE non ha visto zero-day Critical, e il pattern si ripete a novembre.

Il CVSS misura la severità intrinseca della falla, non la probabilità di uso offensivo né il valore per l'attaccante. Un hash NTLMv2 non esegue codice, ma può essere utilizzato per autenticarsi come l'utente. La distinzione tra metrica teorica e impatto operativo è documentata, non interpretativa.

Cosa fare adesso

Le fonti primarie indicano che i team di sicurezza devono aggiornare Office separatamente da Windows Update: la zero-day Outlook non rientra nel cumulative update del sistema operativo. Le build fix specifiche sono 16.0.14334.21048 per Office LTSC 2021 e 16.0.17932.21140 per Office LTSC 2024.

La deadline CISA per le agenzie federali USA è il 24 novembre 2026. Per gli altri ambienti, la priorità deriva dallo stato di exploit confermato, non dal punteggio CVSS.

Microsoft non ha rilevato disclosure pubblica pre-patch per questa vulnerabilità. L'identità degli attaccanti, le campagne specifiche di sfruttamento e l'ampiezza geografica o settoriale degli attacchi osservati non sono documentate nelle fonti disponibili.

Il contesto: volumi record nel 2026

Il Patch Tuesday di novembre 2026 si inserisce in un anno di volumi eccezionali. Microsoft ha corretto oltre 5.000 vulnerabilità nel 2026. Il mese precedente, ottobre 2026, ha stabilito il record assoluto con 1.413 CVE in un singolo rilascio.

La distribuzione per prodotto a novembre: 726 CVE in Windows, 174 in Office, 59 in SQL Server, 53 in developer tools, 27 in SharePoint Server, 20 in Azure, 9 in Exchange Server.

La scoperta di CVE-2026-124194 è accreditata a Benoît Sevens, con menzione dell'uso di Claude di Anthropic come strumento, e al ricercatore "nono". Microsoft cita il tool nell'acknowledgment, ma non fornisce dettagli sulla metodologia completa di identificazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter