Atakowana luka w Outlooku. Badacz znalazł ją z pomocą Claude

Na czym polega luka w Outlooku

Microsoft opisuje CVE-2026-124194 jako błąd, w którym interfejs Outlooka nie ostrzega użytkownika przed niebezpiecznym działaniem. Atakujący wysyła spreparowany plik wiadomości lub dokument Office i nakłania ofiarę do jego otwarcia. Outlook łączy się wtedy z zasobem sieciowym kontrolowanym przez napastnika, pomijając ostrzeżenie o treści zewnętrznej.

Skutkiem jest wyciek skrótu NTLMv2. NTLM to starszy mechanizm uwierzytelniania w sieciach Windows, a skrót hasła można próbować złamać poza siecią ofiary albo wykorzystać do zalogowania się jako ten użytkownik. Microsoft ocenia lukę jako umiarkowaną, ponieważ wymaga działania ofiary. W firmie, w której jedno konto ma dostęp do wielu systemów, skutki mogą być jednak poważne.

Kogo dotyczy i co wiadomo o atakach

Według poradnika Microsoftu podatne są wersje 32- i 64-bitowe Microsoft 365 Apps for Enterprise oraz Office LTSC 2021 i Office LTSC 2024. Microsoft potwierdza wykorzystywanie luki, ale nie podaje, kto atakuje, na jaką skalę ani w jakich krajach. Nie wiadomo więc, czy ataki objęły firmy w Polsce lub Unii Europejskiej.

Agencja CISA wpisała lukę do katalogu Known Exploited Vulnerabilities w dniu publikacji poprawki. Taki wpis zobowiązuje amerykańskie urzędy federalne do załatania systemów w wyznaczonym terminie, tu do 24 listopada 2026 roku. Dla firm spoza USA katalog jest sygnałem, że luka nie jest wyłącznie teoretyczna.

Jaką rolę odegrał Claude

W podziękowaniach do poprawki Microsoft wymienia dwa wpisy. Pierwszy dotyczy osoby podpisanej jako nono, a drugi brzmi dosłownie „Benoît Sevens using Claude with Anthropic”. Z wpisu wynika tylko tyle, że przy znalezieniu luki używano modelu Claude. Microsoft ani Anthropic nie opisały, który model był użyty, jak wyglądała praca badacza ani czy obie zgłoszone osoby trafiły na lukę niezależnie.

To kolejny w ostatnich tygodniach przypadek, w którym w zgłoszeniu podatności pojawia się model AI. Wcześniej opisywaliśmy lukę w Rejetto HFS znalezioną z pomocą Mythos oraz zgłoszenia z udziałem AI w poprawkach Chrome. W naszej ocenie przypadek Outlooka pokazuje, że modele pomagają znajdować także błędy w powszechnie używanym oprogramowaniu biurowym, a nie tylko w niszowych projektach. Nie wiadomo jednak, czy atakujący znaleźli lukę sami, czy dowiedzieli się o niej w inny sposób.

Ponad tysiąc luk w listopadowych poprawkach

Listopadowy pakiet jest drugim z rzędu, w którym liczba łatanych luk przekracza tysiąc. Różnice w podawanych liczbach wynikają z metody liczenia, czyli z tego, czy redakcja wlicza poprawki przeglądarki Edge, dystrybucji Linuksa Mariner i komponentów innych firm.

• SecurityWeek - 1094 luki Microsoftu, w tym 726 w Windows, 174 w Office, 59 w SQL Server i 9 w Exchange Server, plus 165 ponownie opublikowanych luk innych firm
• BleepingComputer - 1235 luk z Edge, z czego 66 krytycznych, w tym 48 umożliwiających zdalne wykonanie kodu
• Październik 2026 roku - rekordowy pakiet z ponad 1400 lukami według obu redakcji
• Wykorzystywana w atakach luka zero-day - tylko jedna, CVE-2026-124194 w Outlooku

Co zrobić w firmie i na własnym komputerze

Najważniejsze jest zainstalowanie aktualizacji Office. W Microsoft 365 Apps aktualizacje zwykle pobierają się automatycznie, ale w firmach kanał aktualizacji często opóźnia wdrożenie o kilka tygodni. Administratorzy powinni sprawdzić, czy listopadowa poprawka dotarła do wszystkich stanowisk, i przyspieszyć ją tam, gdzie czeka w kolejce.

1. Zainstaluj listopadowe poprawki Office i Windows, a w firmie sprawdź ich wdrożenie w konsoli zarządzania
2. Nie otwieraj nieoczekiwanych załączników z plikami wiadomości ani dokumentami Office, nawet od znanych nadawców
3. Ogranicz wychodzący ruch SMB i NTLM do internetu, co Microsoft zalecał już przy wcześniejszych lukach wykradających skróty NTLM
4. Konta administratorów dodaj do grupy Protected Users, która blokuje dla nich uwierzytelnianie NTLM
5. Podejrzane wiadomości i incydenty zgłaszaj zespołowi bezpieczeństwa, a w Polsce także do CERT Polska

Czego jeszcze nie wiadomo

Microsoft nie opublikował wskaźników ataku ani nazwy grupy, która wykorzystuje lukę. Nie wiadomo też, od kiedy trwały ataki i czy obejmowały starsze wersje Office, które nie dostają już poprawek. Firmy korzystające z nieobsługiwanych wersji pakietu powinny traktować je jako narażone.

Brakuje również szczegółów udziału AI. Dopisek w podziękowaniach to deklaracja zgłaszającego przekazana przez Microsoft, a nie opis metody. Zaktualizujemy tekst, jeśli Microsoft, Anthropic lub badacze podadzą więcej informacji.