微软确认Outlook零日漏洞遭在野利用，可窃取Windows身份验证哈希

微软近日确认，一个影响Outlook的零日漏洞（0-Day）正被黑客组织在野外积极利用。该漏洞允许攻击者在用户打开特制恶意文件后，绕过安全机制，非法获取Windows系统的NTLM身份验证哈希值——这一关键凭证可用于后续横向移动或密码离线破解，构成严重安全威胁。

根据披露的信息，该漏洞的利用链始于用户接收并打开一封包含恶意附件的电子邮件。当Outlook在预览或渲染该附件内容时，会触发未公开的内存处理缺陷，进而导致本地系统认证信息泄露。攻击者无需用户交互即可完成部分操作，例如通过嵌入式OLE对象或HTML渲染引擎触发异常行为，最终将NTLM哈希导出至远程服务器。

值得注意的是，此次漏洞并非传统意义上的“远程代码执行”（RCE），而是聚焦于身份凭证窃取这一高价值目标。NTLM哈希虽不直接等同于明文密码，但因其可被用于Pass-the-Hash（PtH）攻击，在企业内网渗透中极为常见。一旦攻击者获得域内任意主机的NTLM哈希，即可冒充合法用户访问共享资源、数据库甚至域控制器，极大提升攻击成功率。

目前，微软尚未发布针对该漏洞的紧急修复补丁。在官方响应中，公司仅确认了漏洞的存在与在野利用事实，但未公开CVE编号、受影响版本列表或技术细节，此举符合其对高危0-Day漏洞的常规披露策略——优先避免为攻击者提供可复现线索。

不过，结合近期微软11月“补丁星期二”发布的多轮更新内容，可观察到其正在同步强化身份验证层的安全基线。例如，KB5131096（Win10 ESU）与KB5131087（Win11 23H2终止支持版）均明确提及：增强NTLM安全性，使客户端默认在非匿名连接中启用NTLM消息签名。该机制可有效缓解NTLM中继攻击（NTLM Relay），即攻击者截获哈希后重放至其他服务的典型手法。尽管此变更无法直接阻止哈希泄露，但能显著提高攻击者后续利用成本。

与此同时，PowerShell脚本签名校验机制也在持续收紧。11月更新中引入更严格的UTF-8编码验证，要求脚本必须以带BOM的规范格式保存才能通过签名检查。此举虽主要面向自动化运维场景，但间接提升了攻击载荷的部署门槛——许多恶意脚本依赖非标准编码规避检测，新规则使其更易被拦截。

从攻击面来看，Outlook作为Windows生态中最广泛部署的邮件客户端，长期是APT组织的重点突破口。历史案例包括2021年CVE-2021-40444（MSHTML远程代码执行）、2023年CVE-2023-28531（Office文档解析漏洞）等，均曾被用于国家级攻击活动。本次0-Day漏洞延续了“邮件附件→本地提权/凭证窃取”的经典路径，反映出攻击者仍高度依赖社会工程与客户端软件的复杂解析逻辑。

值得警惕的是，当前Windows 11 23H2的企业版与教育版已于2026年11月10日结束支持，不再接收安全更新。这意味着仍在运行该版本的组织若未及时升级至24H2或更高版本，将无法获得未来任何针对此类漏洞的修复。而根据微软生命周期政策，24H2企业版支持将持续至2027年10月，25H2至2028年10月，26H2则支持至2029年10月——企业用户亟需制定明确的系统迁移路线图。

在缺乏官方补丁的情况下，安全团队可采取以下临时缓解措施：

此外，微软已在最新版Windows 11 26H2/25H2/24H2的累积更新KB5132061中进一步扩展安全启动证书自动部署范围，并优化了USB音频设备兼容性与自动播放体验。这些改进虽不直接关联本次0-Day，但体现了其在系统底层加固上的持续投入。

需要强调的是，零日漏洞的在野利用往往意味着攻击已持续数周甚至数月。安全研究人员推测，该漏洞可能已被用于针对金融、政府及大型企业的定向钓鱼行动。由于Outlook广泛集成于Microsoft 365生态，且常与Teams、OneDrive等服务联动，一旦初始访问成功，攻击者可快速横向扩散。

目前尚无公开证据表明该漏洞与特定黑客组织相关，但其利用方式与此前Lazarus、TA505等团伙的手法存在相似性——均偏好通过伪装成发票、合同或会议邀请的邮件诱导用户操作。这也再次印证：在端点防护日益完善的背景下，人为因素仍是攻防对抗中最薄弱的一环。

微软表示将持续监控该漏洞的利用情况，并将在适当时间发布修复方案。在此之前，用户应保持高度警惕，对来源不明的邮件附件采取“默认拒绝”原则。对于IT管理员而言，加速系统版本迭代、落实最小权限原则、部署EDR解决方案，已成为应对此类高级威胁的必要防线。