网通社科技快报
CISA确认Outlook漏洞CVE20261241在野利用 微软已发补丁限期修复
美国网络安全与基础设施安全局（CISA）近日确认，微软Outlook中编号为CVE-2026-1241的零日漏洞已被攻击者在野外活跃利用。该漏洞存在于Outlook对.msg或.eml等消息文件的解析逻辑中，攻击者构造恶意邮件后，仅需用户在预览窗格中查看即可触发，无需点击附件或执行宏，从而静默窃取用户的NTLMv2认证哈希。该哈希虽非明文密码，但可直接用于Pass-the-Hash横向移动，严重威胁域环境安全。
CISA最初公告时指出尚无官方补丁，建议组织立即禁用Outlook预览窗格、监控异常NTLM流量，并启用LDAP/SMB签名策略以限制凭据传递攻击。但后续信息显示，微软已紧急发布安全更新，要求相关机构限期完成修复。该漏洞利用链短、隐蔽性强，不依赖外部中继服务，传统EDR与反病毒方案难以有效拦截。
技术层面，漏洞根源在于Outlook为兼容老旧格式保留的历史解析代码存在内存处理缺陷，使Windows身份验证子系统在NTLM协商过程中被劫持。安全厂商如SentinelOne、CrowdStrike及国内奇安信、深信服已同步更新检测规则与IOC指标。专家强调，此类客户端侧漏洞正成为APT首选入口，企业需转向零信任邮件架构，推动淘汰NTLM、迁移到OAuth 2.0+条件访问机制。尽管暂未公开具体攻击组织，但结合近期企业数据泄露事件，该漏洞可能已作为初始入侵跳板被实际使用。
CISA最初公告时指出尚无官方补丁，建议组织立即禁用Outlook预览窗格、监控异常NTLM流量，并启用LDAP/SMB签名策略以限制凭据传递攻击。但后续信息显示，微软已紧急发布安全更新，要求相关机构限期完成修复。该漏洞利用链短、隐蔽性强，不依赖外部中继服务，传统EDR与反病毒方案难以有效拦截。
技术层面，漏洞根源在于Outlook为兼容老旧格式保留的历史解析代码存在内存处理缺陷，使Windows身份验证子系统在NTLM协商过程中被劫持。安全厂商如SentinelOne、CrowdStrike及国内奇安信、深信服已同步更新检测规则与IOC指标。专家强调，此类客户端侧漏洞正成为APT首选入口，企业需转向零信任邮件架构，推动淘汰NTLM、迁移到OAuth 2.0+条件访问机制。尽管暂未公开具体攻击组织，但结合近期企业数据泄露事件，该漏洞可能已作为初始入侵跳板被实际使用。