Microsoft Office
Microsoft Office Outlook: manca l'avviso su azioni non sicure, possibile spoofing, già sfruttata
CVE-2026-124194 Già sfruttata Media · 6.5
Il problema, secondo i dati ufficiali
- Nell'interfaccia di Microsoft Office Outlook manca l'avviso all'utente quando compie azioni non sicure. Questo permette a un aggressore non autorizzato di fare spoofing (falsificare l'identità o l'origine di contenuti) tramite la rete.
- Secondo il punteggio ufficiale, la falla si sfrutta a distanza, via rete, senza bisogno di un account, ma serve un'azione da parte di un utente.
- È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 10/11/2026.
Cosa fare
- Aggiorna Microsoft Office LTSC 2021 alla versione 16.0.14334.21048 o successiva; Microsoft Office LTSC 2024 alla versione 16.0.17932.21140 o successiva.
- Per Microsoft 365 Apps for Enterprise i dati ufficiali non indicano una versione corretta: segui l'avviso del produttore.
- Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.
Versioni interessate
- Microsoft 365 Apps for Enterprise: 16.0.1
- Microsoft Office LTSC 2021: dalla 16.0.1 alla 16.0.14334.21048 esclusa
- Microsoft Office LTSC 2024: dalla 16.0.0 alla 16.0.17932.21140 esclusa
Ne parlano
- Aggiornamenti Mensili Microsoft — CSIRT Italia, 11 novembre 2026
- Patch Tuesday - November 2026 — Rapid7, 10 novembre 2026
- Patch Tuesday - November 2026 — Rapid7, 10 novembre 2026
- Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft — SecurityWeek, 10 novembre 2026
- CVE-2026-124194 Microsoft Outlook Spoofing Vulnerability — Microsoft MSRC, 10 novembre 2026
Fonti ufficiali
- msrc.microsoft.com — avviso del produttore
- msrc.microsoft.com — avviso del produttore
- nvd.nist.gov — avviso del produttore
Descrizione ufficiale (in inglese)
Product ui does not warn user of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to perform spoofing over a network.
Non sai se ti riguarda?
Se usi Microsoft Office e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.