CVE-2026-124194CVSS 6.5缺少不安全操作警告
Outlook 可能未在不安全操作前提示用户，从而允许欺骗。
Microsoft 修复 Windows Office 中已遭利用的 Outlook 欺骗漏洞
Microsoft 披露 Outlook 界面未对不安全操作显示警告。该网络攻击需要用户交互，CISA 已列入 KEV。请安装对应 Office 版本及更新通道的 11 月安全更新。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- CVSS 6.5
- 本页收录 1 个 CVE
- 波及范围
- Windows 上 Office LTSC 2021/2024 和 Microsoft 365 企业应用版的 Outlook，含 x86 和 x64。
- Outlook · Office · credential exposure
- 在野利用
- 已发现
- CISA 于 11 月 10 日将 CVE-2026-124194 列为已知遭利用漏洞。
发生了什么
Microsoft 的 CNA 记录说明，警告缺失可使攻击者通过网络实施欺骗。其 CVSS 3.1 向量要求用户交互，无需攻击者拥有权限。记录未明确具体诱饵、零点击利用路径或受害者范围。Microsoft 365 企业应用版用户应按更新通道查询 Office 安全发布表。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Office LTSC 2021 | 16.0.14334.21048 | |
| Office LTSC 2024 | 16.0.17932.21140 |
案发时间线
2026年11月10日
Microsoft 公开漏洞，CISA 将其列入 KEV
CISA 为适用的美国联邦民事机构列出 11 月 24 日处置期限。
2026年11月11日
Microsoft 更新 CVE 记录
记录列出 LTSC 构建下限，并引导 Microsoft 365 客户查看各通道的发布表。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Microsoft CNA 记录一手来源列出受影响的 Windows Office 产品、CVSS 向量中的用户交互前提及 LTSC 构建下限。
- CISA 已知被利用漏洞目录一手来源确认已知在野利用，并列出处置期限。