Il 10 novembre 2026 Microsoft ha confermato che una vulnerabilità in Outlook, già sfruttata attivamente da ignoti, è stata corretta nell'ambito del Patch Tuesday che ha risolto oltre mille falle in tutto l'ecosistema Windows e Office. Basta che un dipendente apra un file di posta costruito ad arte perché Outlook, senza mostrare alcun avviso, invii di nascosto l'hash della sua password a un server controllato dall'attaccante. CISA ha inserito la falla, nota come CVE-2026-124194, nel proprio catalogo delle vulnerabilità sfruttate attivamente lo stesso giorno della pubblicazione della patch, segno che gli attacchi erano già in corso prima della correzione.
Come funziona l'attacco: nessun link, nessuna password digitata
La catena d'attacco non assomiglia al phishing classico. L'aggressore invia un file di messaggio (.msg) appositamente costruito, magari come allegato di una email apparentemente innocua. Quando il destinatario lo apre, Outlook si connette da solo, in automatico, a un indirizzo di rete controllato dall'attaccante, senza mostrare il consueto avviso sul contenuto esterno che normalmente mette in guardia l'utente. In quella connessione, Outlook espone l'hash NTLMv2 dell'utente: una stringa cifrata che rappresenta le sue credenziali di accesso.
Un dettaglio utile per chi deve valutare il rischio: la sola anteprima del messaggio nel riquadro di lettura di Outlook non basta a scatenare l'attacco, il file va aperto attivamente. Questo riduce in parte la superficie di esposizione, ma non la elimina, perché aprire un allegato è un gesto che qualunque dipendente compie più volte al giorno, senza alcun sospetto: non deve cliccare su un link sospetto, non deve inserire username e password su una pagina falsa, non deve autorizzare nulla. Tutto avviene in modo silenzioso lato client.
Perché la correzione non arriva con l'aggiornamento di Windows (e come verificare di averla installata)
Un punto che genera confusione in molte aziende: la vulnerabilità non risiede nel sistema operativo, ma nelle applicazioni Office. Riguarda infatti Microsoft 365 Apps for Enterprise e Office LTSC 2021 e 2024 (sia a 32 che a 64 bit). Per questo la patch non viene distribuita tramite Windows Update, ma tramite il canale di aggiornamento proprio di Office. Un parco PC che risulta perfettamente aggiornato su Windows Update può quindi restare comunque esposto, se nessuno ha controllato separatamente la versione di Office installata.
Per verificare se un singolo PC ha già ricevuto la correzione basta aprire Outlook o un'altra applicazione Office, andare su File, poi Account, quindi Opzioni di aggiornamento e infine Aggiorna ora. Dopo il controllo, le applicazioni Office vanno riavviate perché l'aggiornamento diventi effettivo. Microsoft e diversi osservatori di sicurezza raccomandano di completare questa verifica su ogni dispositivo con Outlook entro 72 ore, un orizzonte ben più stretto rispetto alla scadenza del 24 novembre 2026 fissata da CISA per le sole agenzie federali statunitensi, che però dà la misura dell'urgenza percepita.
Perché un hash NTLM rubato è pericoloso anche se Microsoft lo classifica moderato
Microsoft ha assegnato a questa vulnerabilità un punteggio CVSS di 6.5, classificandola come spoofing di gravità moderata, non critica. È una classificazione che può indurre a sottovalutarla, ma lo sfruttamento attivo confermato cambia la prospettiva: non è un rischio teorico, è già stato usato contro bersagli reali prima ancora che la patch fosse disponibile.
Il motivo per cui un hash NTLMv2 rubato è prezioso per un attaccante è semplice: non serve decifrarlo per usarlo. In molte reti aziendali che ancora accettano l'autenticazione NTLM per cartelle condivise, applicativi gestionali interni o altri servizi legacy, quell'hash può essere riutilizzato o inoltrato (una tecnica nota come NTLM relay) per autenticarsi come l'utente compromesso, senza bisogno di conoscerne la password in chiaro. In pratica, una singola email aperta da un dipendente può trasformarsi nel punto di accesso per muoversi lateralmente nella rete aziendale.
Le verifiche da fare subito in azienda
A prescindere dalle dimensioni dell'azienda, ci sono controlli concreti da fare nei prossimi giorni:
- Versione di Office su tutti i PC, non solo su server e postazioni dell'ufficio IT: la correzione va verificata singolarmente su ogni dispositivo con Outlook installato, inclusi i portatili dei commerciali e i PC usati in smart working.
- Accessi e autenticazioni anomale: vanno controllati i log per connessioni Outlook verso indirizzi esterni sconosciuti o eventi di autenticazione NTLM insoliti nei giorni precedenti all'installazione della patch, segnali indicati dagli stessi ricercatori come possibili tracce di sfruttamento.
- Uso corrente di NTLM in rete: dove l'infrastruttura Active Directory lo consente, vale la pena valutare una riduzione progressiva dell'autenticazione NTLM a favore di Kerberos, più robusto contro questo tipo di riutilizzo delle credenziali. È un intervento da pianificare con attenzione, perché alcune applicazioni legacy potrebbero ancora dipendere da NTLM.
Una gestione centralizzata degli aggiornamenti Office, per non dipendere dal singolo dipendente
Il problema di fondo che questo episodio mette in evidenza è organizzativo, non solo tecnico: se l'aggiornamento di Office dipende dall'iniziativa del singolo dipendente che clicca su Aggiorna ora, prima o poi qualcuno resterà indietro. Le aziende che gestiscono Microsoft 365 Apps tramite strumenti centralizzati, come i canali di aggiornamento gestiti dal centro amministrazione Microsoft 365 Apps o una soluzione di gestione dispositivi aziendale, possono forzare e verificare l'installazione della patch su tutto il parco macchine senza dover contare sulla memoria o sulla buona volontà di ciascuno.
Per le PMI italiane che non hanno una struttura IT interna dedicata a questo tipo di monitoraggio, Hi-Keep può impostare proprio questo tipo di gestione: canali di aggiornamento Office centralizzati e verificabili, controlli periodici sullo stato reale dei dispositivi (non solo su quanto riportano le console) e una valutazione mirata sull'uso di NTLM nella rete aziendale, per capire dove e come ridurne la dipendenza senza interrompere applicativi esistenti.
Come può aiutare Hi-Keep
Su questo caso specifico, Hi-Keep può verificare in tempi rapidi la versione di Office installata su tutti i dispositivi aziendali, impostare un sistema di aggiornamento centralizzato che non dipenda dall'intervento manuale dei singoli dipendenti e analizzare i log di autenticazione alla ricerca di segnali di compromissione legati a questa vulnerabilità. Se la tua azienda usa Microsoft 365 e vuole capire quanto è esposta a questo tipo di rischio, contatta Hi-Keep per una verifica mirata.