Útočníci zneužívajú chybu v Outlooku. Ako preveriť firemné počítače?

Čo Microsoft potvrdil 10. novembra

Microsoft zverejnil zraniteľnosť CVE-2026-124194 a vydal aktualizácie 10. novembra 2026. Už v prvom oznámení uviedol, že chybu útočníci využívajú. V ten istý deň ju americká agentúra CISA zaradila do katalógu známych zneužívaných zraniteľností. 11. novembra na opravu upozornila aj NHS England Digital. Microsoft nezverejnil dátum prvého útoku ani rozsah kampane. V dostupných oznámeniach sme nenašli potvrdenú obeť na Slovensku alebo v Česku. ^{[1] [2] [3]}

Podľa Microsoftu môže zraniteľný Outlook po otvorení upraveného súboru so správou nadviazať sieťové spojenie bez obvyklého upozornenia na externý obsah. Pri tomto spojení môže uniknúť odpoveď používaná pri overovaní cez NTLMv2. Heslo sa pritom neposiela v čitateľnej podobe. Zachytené údaje však za určitých podmienok môžu poslúžiť na vydávanie sa za používateľa voči ďalšej službe. Microsoft uvádza, že pri tejto chybe treba súbor otvoriť v dotknutej aplikácii. Samotné doručenie správy ani zobrazenie v paneli ukážky podľa výrobcu na zneužitie nestačia. ^{[1] [4]}

Microsoft pridelil chybe skóre 6,5 z 10. Pri plánovaní opráv je dôležité zohľadniť aj potvrdené útoky a oprávnenia účtu, ktorý môže byť vystavený. Ak zamestnanec číta poštu pod účtom s prístupom k citlivým zdieľaným priečinkom alebo s oprávnením spravovať systémy, prípadné zneužitie má väčší dosah. Konkrétny dopad závisí od toho, ktoré služby v sieti daný účet prijímajú a ako sú zabezpečené. ^{[1] [5]}

Ktoré verzie Outlooku preveriť

Microsoft uvádza 32-bitové aj 64-bitové vydania Microsoft 365 Apps for Enterprise, Office LTSC 2024 a Office LTSC 2021 s klasickým Outlookom pre Windows. Rozhoduje aplikácia na pracovnej stanici. Aj firma s poštou v cloude môže mať na počítačoch zraniteľný klasický Outlook. Ak ľudia používajú nový Outlook alebo webmail, zistite, či majú klasický Outlook stále nainštalovaný a v čom sa im otvárajú súbory so správami. ^{[1] [5]}

• Microsoft 365 Apps for Enterprise. Skontrolujte nainštalovanú zostavu voči novembrovým poznámkam Microsoftu pre aktualizačný kanál zariadenia. Rôzne kanály môžu mať rôzne čísla zostáv.
• Office LTSC 2024. Microsoft uvádza opravenú zostavu 16.0.17932.21140.
• Office LTSC 2021. Microsoft uvádza opravenú zostavu 16.0.14334.21048.

Na jednotlivom počítači nájdete verziu v klasickom Outlooku cez Súbor → Konto Office → Informácie o Outlooku. Pri centrálnej správe použite inventár zariadení a po nasadení porovnajte reportovanú zostavu s opravenou zostavou alebo novšou v príslušnej vetve. Skontrolujte aj notebooky, ktoré sa dlhšie nepripojili k firemnej sieti, a zdieľané pracovné stanice. Záznam o pridelení aktualizácie ešte nepotvrdzuje jej inštaláciu. ^{[1] [6]}

Ak máte externého správcu, vypýtajte si počet zariadení s potvrdenou opravou, zoznam výnimiek a termín ich dobehnutia. Pri správe viacerých pobočiek sledujte stav za každú zvlášť. Pre počítač, na ktorom opravu dočasne brzdí kompatibilita, dohodnite s IT schválený spôsob práce s poštou a termín opätovnej kontroly. Ak firma prechádza na webmail, overte aj to, či zraniteľná aplikácia zostáva dostupná na otvorenie uložených správ.

Čo preveriť pri podozrení na zneužitie

Začnite časom, keď používateľ otvoril podozrivý súbor. Zabezpečte pôvodnú správu a prílohu podľa interného postupu bez ďalšieho otvárania. Spojte čas otvorenia so záznamami ochrany koncových zariadení, firewallu a overovania identity. Hľadajte neobvyklé odchádzajúce spojenia z daného počítača a následné prihlásenia rovnakého účtu k interným službám. Sledujte nové zariadenia, nezvyčajné zdrojové adresy, prístup k citlivým súborom alebo zmeny oprávnení, ktoré používateľ bežne nerobí.

Samotné spojenie s neznámou adresou je podnet na preverenie. Pri dôvodnom podozrení izolujte zariadenie podľa plánu reakcie na incident a uchovajte dostupné záznamy. S tímom IT potom podľa zistení obmedzte dotknutý účet, zmeňte jeho prihlasovacie údaje, zrušte aktívne relácie tam, kde to služba umožňuje, a skontrolujte jeho prístupy. Aktualizácia Office opraví chybu na danom zariadení. Predchádzajúce použitie účtu treba vyhodnotiť zo záznamov.

Ak podozrivá správa prišla viacerým ľuďom, preverte, komu bola doručená a odkiaľ sa prípadné spojenia zaznamenali. Tak si viete určiť, ktoré zariadenia a účty treba riešiť ako prvé. Pri účte s vyššími oprávneniami zahrňte do kontroly aj systémy, ktoré môže spravovať.

Štyri kroky pre firemné IT

1. Nasaďte opravu a overte zostavy. Priraďte vlastníka kontroly aj počítačom mimo pravidelnej správy. Zariadenia so starou zostavou sledujte až do potvrdenia inštalácie.
2. Obmedzte odchádzajúce SMB spojenia. Preverte blokovanie TCP portu 445 smerom do internetu. Zohľadnite aj notebooky na domácich a verejných sieťach, kde samotný firemný firewall nestačí. Výnimky pre schválené služby otestujte a obmedzte na potrebné ciele. ^[7]
3. Zmapujte používanie NTLM a prejdite oprávnenia. Pred plošným obmedzením zistite, ktoré aplikácie protokol ešte potrebujú. Začnite auditom a pilotom, aby ste neodstavili staršie aplikácie alebo zdieľania. Oddeľte bežné poštové účty od správcovských a preverte prístup k citlivým úložiskám.
4. Nastavte jasný postup hlásenia. Zamestnancom povedzte, kam majú podozrivú správu nahlásiť a čo oznámiť, ak prílohu už otvorili. Overte, či IT vie rýchlo nájsť záznamy o zariadení aj účte. Pri potvrdenom zásahu do súborov alebo služieb použite overené zálohy až po zamedzení neoprávneného prístupu.