Outlook filtra el teu hash i Microsoft ho anomena «moderat»

Dimarts Microsoft va publicar pedaços per a 1.095 vulnerabilitats. De totes elles n'hi ha exactament una que ja s'està explotant, i resulta portar l'etiqueta de severitat més baixa del lot. Si la teva cua de pedaços s'ordena per «el crític primer», aquesta anava l'última. Es diu CVE-2026-124194, viu a l'Outlook, i el que s'escapa quan algú obre el fitxer no és el contingut del correu: és el seu hash NTLMv2.

Una de 1.095, i és la de baix

Els titulars d'aquesta setmana diuen 1.094. Nosaltres preferim comptar, així que vam anar a l'API de la Security Update Guide i vam demanar el lliurament 2026-Nov sencer. A dia d'avui retorna 1.511 entrades, de les quals 1.095 tenen Microsoft com a CNA; de la resta, 219 vénen de Chromium —són les de l'Edge—, 196 d'Azure Linux (Mariner) i en queda una de solta. La xifra balla un punt amunt o avall segons el dia que la miris, perquè el catàleg continua movent-se després de dimarts: nosaltres publiquem la nostra amb el mètode, no amb la fe.

Hi ha dues entrades «moderades» en tot el mes i una de les dues és la que estan fent servir. Cap de les 64 crítiques no ho està. Cap de les 1.029 importants tampoc. I perquè no sembli que l'etiqueta almenys segueix la nota: CVE-2026-113864, una elevació de privilegis a Hyper-V, està marcada com a Critical amb un CVSS de 6,4; la de l'Outlook, amb un 6,5 —és a dir, més alta—, està marcada com a Moderate. La puntuació més alta del mes és un 10,0 a Entra Device Registration i ningú no l'està explotant. Si ordenes per nota, 930 de les 1.095 empaten o superen l'única que està passant de debò.

No és un error de Microsoft. La severitat mesura el dany potencial en el pitjor escenari imaginable i una filtració de credencial, sobre el paper, fa menys soroll que prendre el control d'un hipervisor. L'error és nostre quan fem servir aquesta etiqueta com a ordre de treball. Són dues llistes diferents: una diu quant podria fer mal i l'altra diu què està passant ara mateix. Fa anys que ordenem per la primera.

Què fa exactament, en paraules de Microsoft

La fitxa la classifica com a spoofing i li posa una CWE que ja ho explica tot: CWE-356, «la interfície del producte no avisa l'usuari d'accions insegures». El FAQ ho explica així, literal: «un atacant no autenticat podria enviar un fitxer de missatge especialment manipulat i convèncer un usuari que l'obri en una versió afectada de Microsoft Outlook. Obrir el fitxer podria fer que l'Outlook es connectés a una ubicació de xarxa controlada per l'atacant sense mostrar l'avís habitual de contingut extern, revelant potencialment informació d'autenticació que podria fer-se servir per suplantar l'usuari».

I què és aquesta «informació d'autenticació», ho diu una altra pregunta del FAQ sense giragonses: «aquesta vulnerabilitat revela el hash NTLMv2 de l'usuari a l'atacant, que podria fer-lo servir per autenticar-se com ell». Convé ser precisos, perquè la precisió aquí canvia el que cal fer: un NTLMv2 no és el NT hash que es reutilitza tal qual en un pass-the-hash clàssic. Amb una resposta NTLMv2 capturada es fan dues coses: retransmetre-la en el moment contra un servei que accepti NTLM, o endur-se-la a casa i trencar-la sense pressa. La mateixa documentació d'SMB de Microsoft resumeix el catàleg en una línia quan explica per què convé tallar l'NTLM sortint: «contrarestant atacs de força bruta, de cracking i de pass-the-hash».

El que ve després d'això ja ho hem explicat amb cronòmetre a la mà: en dues hores es passa d'una credencial capturada a intentar administrador de domini. El salt no el dóna la fallada; el donen les tres o quatre decisions de disseny que hi ha entre la màquina de l'usuari i el directori.

El pedaç no arriba per Windows Update

Aquí hi ha el detall operatiu que converteix això en un problema de parc i no en una nota de seguretat. Els productes afectats són sis files: Microsoft 365 Apps for Enterprise (32 i 64 bits) i Office LTSC 2021 i 2024 (32 i 64 bits). Cap de les sis no porta un KB; a la columna de l'article hi diu «Release Notes». Això no és un descuit: és que aquest Office s'actualitza sol des de la xarxa de distribució d'Office, per canal, i no pel mateix camí que Windows. Un parc amb el 100% de Windows al dia pot tenir el 100% de l'Outlook sense pedaçar, i el quadre de comandament d'actualitzacions continuarà en verd.

Aquests són els builds que Microsoft va publicar el 10 de novembre i que inclouen aquest CVE. El número que veuràs a la màquina és a Fitxer → Compte, al costat del nom del canal:

Tres coses que convé saber d'aquesta taula. La primera: el canal per defecte, si ningú no va triar res en desplegar, és Current Channel, i aquest rep la seguretat el segon dimarts com els altres, però també lliuraments sense calendari durant el mes. La segona: Monthly Enterprise manté tres versions vives alhora, de manera que una màquina en 2608 no estava desactualitzada —continuava suportada fins aquest mateix dimarts— però necessita el seu propi build, el 20326.20320, i ningú no l'empenyerà abans d'hora. I la tercera, per als que porten el Semi-Annual precisament per no moure's: des del juliol del 2026 aquest canal rep actualitzacions de funció i de seguretat cada mes, amb un període de reversió de dos mesos. El canal «lent» ja no és tan lent.

Tres condicions, i dues són teves

Perquè aquest hash acabi a mans d'algú s'han de complir tres coses alhora. La primera és el disparador: una fallada a l'Outlook que se salta l'avís. Aquesta no la controles tu, i ja està pedaçada —fins a la següent, perquè aquesta família de fallades fa anys que reapareix amb disparadors diferents; a l'octubre vam comptar set formes documentades que l'avís d'origen extern no arribi a decidir res—. La segona és que l'equip de l'usuari estigui disposat a parlar NTLM amb un servidor de fora. La tercera és que aquesta connexió trobi la sortida. Les dues últimes són decisions teves, i totes dues es poden canviar avui.

Un apunt d'honestedat abans de continuar: Microsoft diu «una ubicació de xarxa controlada per l'atacant» i no diu per quin protocol. L'interruptor que ve ara cobreix SMB, que és el camí clàssic d'aquest tipus de fuga. Si la ubicació s'assoleix per una altra via, no la cobreix. Per això el control de sortida —què pot obrir un portàtil d'oficina cap a internet i què no— és la capa que no depèn d'endevinar el protocol, i per això als nostres desplegaments el 445 sortint està tancat des del dia u, sense excepcions negociades per telèfon.

L'interruptor que ja tens i està apagat

Des de Windows 11 24H2 i Windows Server 2025, el client SMB de Windows sap negar-se a fer servir NTLM cap a fora. La documentació ho diu amb una claredat poc habitual: «el client SMB ara suporta bloquejar l'autenticació NTLM per a connexions sortints remotes. Bloquejar l'autenticació NTLM impedeix que els dolents enganyin els clients perquè enviïn peticions NTLM a servidors maliciosos». És, literalment, la descripció del que acabem de llegir al FAQ de l'Outlook. I ve apagat.

Per directiva de grup és a Configuració de l'equip → Plantilles administratives → Xarxa → Estació de treball Lanman, amb el nom «Block NTLM (LM, NTLM, NTLMv2)». Per PowerShell és una línia: Set-SmbClientConfiguration -BlockNTLM $true. Hi ha llista d'excepcions per servidor —«Block NTLM Server Exception List»— pensada just per al cas que trobaràs, i que la mateixa documentació anomena: «quan el servidor SMB al qual intentes connectar-te no està unit a un domini d'Active Directory». I es pot aplicar només a un recurs concret en muntar-lo: NET USE \\servidor\recurs /BLOCKNTLM o New-SmbMapping -RemotePath \\servidor\recurs -BlockNTLM $true.

El requisit de versió no és un detall menor per a una pime: si el teu parc no va arribar a 24H2, aquest interruptor no existeix a les teves màquines. I convé mirar-ho al costat de l'altra data, perquè el suport de 24H2 a Home i Pro va acabar el 13 d'octubre mentre que a Enterprise i Education arriba a l'octubre del 2027. El mateix número de versió, dos calendaris. Qui va fer aquell inventari a l'octubre ja sap avui en quants equips pot encendre això.

Quan NO fer això

Si acabes de llegir això i penses empènyer la directiva al domini sencer aquesta tarda, atura't. Bloquejar NTLM sortint de cop en un parc real trenca coses, i trenca les de sempre: la cabina d'emmagatzematge que no està unida al domini, el NAS del despatx de dalt, la multifunció que escaneja a una carpeta compartida, l'aplicació sectorial del 2011 que s'autentica com pot. Aquestes són exactament les que la llista d'excepcions existeix per salvar. L'ordre que funciona és avorrit i és el de sempre: inventari de a quins recursos SMB surt cada grup d'equips, llista d'excepcions escrita, pilot en un departament, i bloqueig general al final.

I el «quan no» més honest de tots: si a la teva empresa ningú no fa servir l'Outlook d'escriptori —només el del navegador— aquest CVE concret no et toca. Es comprova en cinc minuts i t'estalvies la tarda. El que sí que et toca, facis servir el client que facis servir, és la pregunta de sota: per què un portàtil teu es pot autenticar contra un servidor d'internet que no has vist mai?

El que diu CISA, i el que no diu

El mateix 10 de novembre, CISA va afegir aquest CVE al seu catàleg de vulnerabilitats explotades conegudes amb data límit el 24 de novembre: catorze dies. Al catàleg (versió 2026.11.10) el camp d'ús en campanyes de ransomware és «Unknown»: està passant, però encara no hi ha una banda d'extorsió documentada al darrere. De com es calculen avui aquests terminis i de per què han deixat de servir com a termòmetre de gravetat en vam parlar aquest mateix matí, comparant dues fitxes del mateix aparell separades per tres anys.

Aquest termini obliga les agències federals dels Estats Units, no una empresa de Sabadell. Ho diem perquè hi ha qui ven el catàleg com si fos normativa aquí i no ho és. El seu valor per a nosaltres és un altre: quan un lot porta 1.095 pedaços, el que falta no és puntuació, és un criteri d'ordre. I el criteri està publicat des de dimarts, encara que no sigui on solem mirar-lo.

On encaixa això en el que fem

No venem llicències de Microsoft ni tenim quota a complir amb ningú. El que fem amb un lloc de treball gestionat és poc glamurós: saber quina versió d'Office corre cada màquina i per quin canal, decidir aquest canal a propòsit en comptes d'heretar-lo, i tenir escrit què pot obrir un portàtil cap a fora. Aquesta última línia és ciberseguretat de l'avorrida, la que no surt en cap demo. La primera és manteniment del parc, que consisteix gairebé sencer a saber què tens abans que algú et pregunti si estàs afectat.

La fallada és inevitable, l'avaria és una decisió de disseny. Aquí la fallada és que un client de correu se salti un avís: passa, ha passat abans i tornarà a passar. L'avaria és que, quan passi, la credencial d'algú pugui sortir del teu edifici sense que res s'hi interposi. Entre les dues coses hi ha un interruptor que ja està instal·lat als teus equips i una regla de sortida que no costa diners. Cap de les dues no apareix a la llista de 1.095.

Fonts (verificades el 12-nov-2026): Microsoft Security Update Guide, fitxa de CVE-2026-124194 i la seva API pública (severitat Moderate, CVSS 6,5 amb vector CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N/E:H/RL:O/RC:C, CWE-356, «Exploitation Detected», divulgació pública «No», les tres respostes del FAQ citades i les sis files de productes afectats sense KB); recompte propi sobre el mateix endpoint per al lliurament 2026-Nov (1.511 entrades, 1.095 amb Microsoft com a CNA, 64 Critical, 1.029 Important, 2 Moderate, una de sola explotada, CVE-2026-113864 com a Critical amb 6,4 i CVE-2026-109469 com a màxim del mes amb 10,0). CISA, catàleg KEV, versió 2026.11.10 descarregada en cru (alta el 10-nov, termini 24-nov, ransomware «Unknown»). Microsoft Learn, «Release notes for Microsoft Office security updates» (els builds del 10-nov-2026 de la taula) i «Overview of update channels for Microsoft 365 Apps» (canal per defecte, seguretat el segon dimarts, tres versions vives a Monthly Enterprise i el canvi del Semi-Annual des del juliol del 2026). Microsoft Learn, «Block NTLM connections on SMB» (la cita del bloqueig sortint, el requisit de Windows 11 24H2 i Windows Server 2025, la directiva de Lanman Workstation, la llista d'excepcions i les ordres) i «Guidance about how to configure protected accounts» (NTLM a Protected Users, els avisos i els 240 minuts). Les lectures i els contrastos són nostres.