Osegi
Bezpieczeństwo·2 min czytania

Luka w Outlooku CVE-2026-124194 wykorzystano przed łatką

Microsoft załatał błąd w Outlooku, przez który program łączył się z serwerem atakującego bez zwykłego ostrzeżenia i wyciekały dane logowania do Windowsa. Atak już trwał.

A laptop showing the Outlook email client with a red security warning shield overlaid on the screen.
Zdjęcie: ギズモード・ジャパン
SUMODialoediviewergiftdetect

Otwierasz plik w Outlooku i nic cię nie ostrzega, a komputer po cichu łączy się z serwerem obcej osoby. Tak działała luka w Outlooku oznaczona jako CVE-2026-124194, którą Microsoft załatał 10 listopada (czasu amerykańskiego) w listopadowej aktualizacji bezpieczeństwa. Co gorsza, była wykorzystywana, zanim łatka się pojawiła.

Zgodnie z komunikatem japońskiego zespołu JPCERT/CC wystarczy otworzyć w Outlooku specjalnie przygotowany plik wiadomości. Program zwykle pokazuje wtedy ostrzeżenie, ale tu go brakowało. Łączył się z serwerem kontrolowanym przez atakującego i mógł ujawnić dane używane do uwierzytelniania w sieci Windows. Z takimi danymi napastnik w niektórych przypadkach może uwierzytelnić się jako ofiara.

Czy to zwykłe podszywanie się pod nadawcę?

Nie. To nie jest klasyczny fałszywy adres nadawcy. Problem dzieje się na komputerze odbiorcy.

Podatna jest klasyczna wersja Outlooka dla Windows, jeśli nie ma poprawki. Dotyczy to pakietów Microsoft 365 Apps for Enterprise, Office LTSC 2021 i Office LTSC 2024.

Jak zabezpieczyć się przed luką w Outlooku?

Wystarczy zainstalować najnowsze aktualizacje bezpieczeństwa Office, w tym Outlooka. Można sprawdzić Windows Update lub Microsoft Update. W klasycznym Outlooku czasem zadziała też ręczna aktualizacja: „Plik” → „Konto pakietu Office” → „Opcje aktualizacji” → „Aktualizuj teraz”. Japońska agencja IPA ostrzega, że szkody mogą się rozszerzać, i apeluje o pilną instalację. Jeśli komputerem zarządza firma, trzeba stosować się do zaleceń działu IT.

Fala łatek rośnie

Listopadowa aktualizacja usunęła według numerów CVE 1093 luki, z czego 63 miały najwyższy poziom krytyczności. Dla porównania: w listopadzie 2021 roku było ich 55, a według zestawienia firmy Tenable cały rok 2025 to 1130 luk.

Brytyjskie NCSC w maju 2026 roku wskazało, że AI przyspiesza odkrywanie podatności, i wezwało do przygotowania się na „falę łatek”. Czas od ujawnienia luki do jej wykorzystania skrócił się już do kilku dni i niemal na pewno będzie jeszcze krótszy. Obrońca musi załatać wszystko, a napastnikowi wystarczy jedna dziura.

Aplikacje warte uwagi

SUMO: łamigłówka liczbowa

Wybierz właściwe pola, dodaj je i trafiaj w cel. Łatwa do nauczenia, trudna do opanowania. Za darmo, dla każdego wieku.

Tagi:outlookmicrosoftcve-2026-124194vulnerabilitywindowssecurity update

Więcej z tego dnia

Zobacz wszystkie →

Więcej w kategorii: Bezpieczeństwo

Zobacz wszystkie →