RECOMENDAÇÃO 23/2026

[TLP:CLEAR]

1. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) alerta os órgãos e entidades da Administração Pública Federal (APF) sobre a existência de uma vulnerabilidade de dia zero (zero-day), rastreada como CVE-2026-124194, com exploração ativa confirmada pela Microsoft em seu ciclo mensal de atualizações de segurança (Patch Tuesday) de novembro de 2026. A falha consiste em uma vulnerabilidade de falsificação (Spoofing), classificada com severidade Moderada (pontuação CVSS 6.5), decorrente da ausência de alertas de segurança aos usuários antes da execução de ações potencialmente perigosas no cliente de correio eletrônico Microsoft Outlook.

2. A exploração bem-sucedida da CVE-2026-124194 ocorre por meio de engenharia social, exigindo que um atacante não autenticado envie uma mensagem ou arquivo especialmente criado e induza a vítima a abri-lo diretamente em uma versão afetada do cliente Outlook (a falha não é acionada apenas pela visualização no Painel de Leitura/Preview Pane). Ao abrir o arquivo malicioso, o aplicativo estabelece uma conexão automática com um servidor ou compartilhamento de rede remoto controlado pelo agente malicioso, sem exibir o aviso habitual de bloqueio de conteúdo externo, expondo o hash de autenticação NTLMv2 do usuário comprometido.

3. Estão vulneráveis à CVE-2026-124194 as seguintes suítes e versões de aplicativos de escritório da Microsoft:

 - Microsoft 365 Apps for Enterprise;

 - Microsoft Office LTSC 2021; e

 - Microsoft Office LTSC 2024.

4. O impacto da exploração bem-sucedida engloba a captura não autorizada de hashes de credenciais NTLMv2 da vítima, possibilitando ataques de repetição ou retransmissão de autenticação (NTLM Relay / Pass-the-Hash) para se passar pelo usuário legítimo, obter acesso não autorizado a recursos internos da rede corporativa, comprometer contas institucionais e promover movimentação lateral no ambiente.

5. Diante da confirmação de exploração ativa em ambiente real e do risco de comprometimento de credenciais institucionais, o CTIR Gov recomenda às equipes de Tecnologia da Informação e Segurança Cibernética dos órgãos e entidades da APF a adoção prioritária das seguintes medidas de correção, mitigação e monitoramento:

a) Aplicação imediata de atualizações oficiais: Aplicar os pacotes de segurança disponibilizados pela Microsoft no ciclo de novembro de 2026 para o Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024, conforme as orientações do boletim oficial do fabricante (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194);

b) Bloqueio de tráfego SMB de saída no perímetro: Bloquear conexões de saída nas portas TCP 445 e TCP 139 (protocolo SMB) no firewall de borda da instituição para impedir que estações de trabalho enviem hashes NTLMv2 para servidores externos controlados por atacantes;

c) Restrição do protocolo NTLM: Restringir o tráfego de autenticação NTLM de saída para servidores remotos por meio de Políticas de Grupo (GPO) do Windows (configurando a diretiva Segurança de rede: Restringir NTLM: Tráfego NTLM de saída para servidores remotos como Negar tudo ou mediante lista de exceções estritamente necessárias) e priorizar o uso do protocolo Kerberos;

d) Monitoramento e auditoria: Revisar os registros (logs) de firewall perimetral, proxy e autenticação de rede (eventos de logon NTLM) em busca de tentativas anômalas de conexão SMB/HTTP/WebDAV originadas de clientes Outlook para endereços IP externos desconhecidos; e

e) Conscientização dos usuários: Reforçar os alertas internos junto aos usuários finais sobre os riscos de abrir arquivos anexos ou mensagens suspeitas recebidas de remetentes externos ou não confiáveis.

6. Comunicação de incidentes: Caso seja identificada qualquer atividade anômala, tentativa de acesso não autorizado ou suspeita de comprometimento decorrente da exploração desta vulnerabilidade, a respectiva Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) institucional deve notificar imediatamente o CTIR Gov por meio do e-mail institucional ctir@ctir.gov.br, em consonância com a legislação e os normativos vigentes do Sistema Nacional de Segurança Cibernética.

[TLP:CLEAR]