Microsoft menambal celah zero-day di Microsoft Outlook yang sudah dipakai penyerang sebelum tambalannya tersedia. Celah bernomor CVE-2026-124194 ini memungkinkan penyerang mencuri data autentikasi Windows korban (hash NTLMv2) hanya dengan membuat korban membuka sebuah file pesan. Pada hari yang sama, 10 November 2026, badan keamanan siber Amerika Serikat (CISA) memasukkannya ke katalog Known Exploited Vulnerabilities (KEV) dan mewajibkan instansi federal AS menambalnya paling lambat 24 November 2026.
Tenggat itu hanya berlaku untuk instansi pemerintah AS, tetapi masuknya sebuah celah ke katalog KEV adalah sinyal kuat bagi siapa pun: celah ini sudah dipakai menyerang di dunia nyata. Bagi perusahaan dan instansi di Indonesia yang memakai Outlook versi desktop, ini saatnya memastikan Office sudah diperbarui.
Ringkasan Cepat
| Hal | Detail |
|---|---|
| Nomor CVE | CVE-2026-124194 |
| Nama resmi | Microsoft Outlook Spoofing Vulnerability |
| Jenis celah | CWE-356: antarmuka tidak memperingatkan pengguna atas tindakan berbahaya |
| Dampak | Hash NTLMv2 pengguna bocor ke server penyerang, yang bisa dipakai untuk menyamar sebagai pengguna |
| Skor CVSS 3.1 | 6,5 (Microsoft memberi label Moderate) |
| Status | Sudah dieksploitasi (Exploitation Detected); tidak diungkap publik sebelum tambalan |
| Tambalan | Pembaruan keamanan Office, 10 November 2026 (Patch Tuesday November) |
| Masuk katalog KEV CISA | 10 November 2026 |
| Tenggat instansi federal AS | 24 November 2026 |
| Penemu (menurut Microsoft) | Benoit Sevens “using Claude with Anthropic”, dan peneliti dengan nama “nono” |
Bagaimana Serangannya Bekerja?
Menurut FAQ resmi Microsoft, penyerang yang tidak perlu login mengirim file pesan yang dirancang khusus, lalu membujuk korban untuk membukanya di Outlook versi yang rentan. Saat file dibuka, Outlook terhubung ke lokasi jaringan milik penyerang tanpa menampilkan peringatan konten eksternal yang biasanya muncul.
Di sinilah masalahnya. Ketika komputer Windows terhubung ke sebuah server berbagi file (misalnya lewat protokol SMB), Windows secara otomatis mencoba “memperkenalkan diri” memakai protokol autentikasi NTLM. Dalam proses itu, Windows mengirim respons NTLMv2 yang berasal dari kata sandi pengguna. Jika servernya milik penyerang, respons itu tertangkap.
Alurnya kira-kira seperti ini:
- Penyerang mengirim file pesan berbahaya, kemungkinan besar sebagai lampiran email atau tautan unduhan. Microsoft belum merinci cara pengirimannya.
- Korban membuka file tersebut di Outlook.
- Outlook diam-diam terhubung ke server penyerang, tanpa peringatan.
- Windows mengirim respons NTLMv2 milik korban ke server tersebut.
- Penyerang memakai hash itu untuk menyamar sebagai korban.
Microsoft menegaskan bahwa panel pratinjau (Preview Pane) bukan jalur serangan. Korban harus benar-benar membuka file berbahaya tersebut. Itu sebabnya skor CVSS-nya “hanya” 6,5: serangan butuh interaksi pengguna.
Apa yang bisa dilakukan penyerang dengan hash NTLMv2?
- Memecahkan kata sandi secara offline. Hash bisa dicoba dipecahkan dengan komputer penyerang sendiri. Kata sandi pendek atau lemah bisa ditemukan, lalu dipakai untuk masuk ke layanan lain yang memakai akun yang sama, termasuk Microsoft 365 jika akun tersinkron.
- Serangan relay. Penyerang meneruskan proses autentikasi secara langsung ke layanan lain di jaringan korban yang tidak mewajibkan signing atau channel binding, misalnya berbagi file SMB, LDAP, layanan sertifikat Active Directory (AD CS), atau Exchange. Jika korban adalah admin, dampaknya bisa sangat luas.
Mengapa skor 6,5 tetap harus diprioritaskan?
Skor CVSS mengukur tingkat keparahan teknis, bukan risiko nyata. Vektor CVSS dari Microsoft mencantumkan E:H, artinya kode eksploit yang berfungsi sudah ada, dan Microsoft sendiri menandai celah ini sudah dieksploitasi. Ini satu-satunya celah di rilis Patch Tuesday November 2026 yang ditandai Microsoft sebagai sudah dieksploitasi. Celah dengan skor sedang yang aktif dipakai penyerang jauh lebih berbahaya daripada celah skor tinggi yang belum pernah dipakai.
Pola serangan ini juga bukan hal baru. Pada Maret 2023, Microsoft menambal CVE-2023-23397, celah Outlook lain yang membocorkan hash NTLM lewat pengingat kalender, dan celah itu dipakai dalam serangan bertarget terhadap organisasi pemerintah dan infrastruktur di Eropa.
Siapa yang Terdampak?
Menurut Security Update Guide Microsoft, produk berikut terdampak dan versi perbaikannya adalah:
| Produk | Versi aman (build minimal) |
|---|---|
| Microsoft 365 Apps, Current Channel | Versi 2610, build 20527.20196 |
| Microsoft 365 Apps, Monthly Enterprise Channel | Versi 2610 build 20527.20194; 2609 build 20430.20264; 2608 build 20326.20320 |
| Microsoft 365 Apps, Semi-Annual Enterprise Channel | Versi 2610 build 20527.20192; 2609 build 20430.20262; 2608 build 20326.20318 |
| Office LTSC 2024 (32-bit dan 64-bit) | 16.0.17932.21140 |
| Office LTSC 2021 (32-bit dan 64-bit) | 16.0.14334.21048 |
Beberapa catatan:
- Yang terdampak adalah Outlook klasik untuk Windows sebagai bagian dari paket Office di atas.
- Office 2016 dan Office 2019 tidak tercantum dalam daftar produk terdampak untuk CVE ini. Namun kedua versi itu sudah habis masa dukungannya sejak 14 Oktober 2025, sehingga tidak lagi mendapat perlindungan rutin. Jika kantor Anda masih memakainya, ini alasan kuat untuk segera beralih.
- Perbaikannya dikirim sebagai pembaruan Office, bukan lewat Windows Update biasa. Komputer yang Windows-nya sudah diperbarui belum tentu Office-nya ikut diperbarui.
Cara Memeriksa Versi Outlook Anda
- Buka Outlook, lalu klik File, pilih Office Account (Akun Office).
- Lihat bagian About Outlook atau informasi versi di bawah “Office Updates”. Anda akan melihat versi dan build, misalnya “Version 2610 (Build 20527.20196)”.
- Bandingkan dengan tabel di atas sesuai channel yang Anda pakai. Jika nomor build lebih kecil, Office Anda belum aman.
Untuk admin yang mengelola banyak komputer, gunakan Microsoft Intune, Microsoft Defender Vulnerability Management, atau Microsoft 365 Apps admin center untuk melihat komputer mana yang masih memakai build lama.
Cara Memperbaiki
1. Perbarui Office sekarang
Di Outlook atau aplikasi Office lain, klik File > Office Account > Update Options > Update Now. Pembaruan Office versi Click-to-Run biasanya baru terpasang saat aplikasi Office ditutup, jadi simpan pekerjaan dan tutup semua aplikasi Office saat diminta. Untuk Office LTSC versi volume licensing yang dikelola terpusat, pastikan paket pembaruan November sudah didistribusikan oleh tim IT.
2. Blokir lalu lintas SMB keluar ke internet
Komputer di kantor hampir tidak pernah perlu terhubung ke server berbagi file di internet. Blokir port TCP 445 (dan 139) keluar ke alamat internet di firewall kantor maupun firewall Windows di laptop. Langkah ini memutus jalur utama kebocoran hash, bukan hanya untuk celah ini tetapi juga celah serupa di masa depan.
3. Batasi NTLM
- Lewat Group Policy, aktifkan Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers. Mulai dengan mode audit untuk melihat dampaknya, baru kemudian ubah ke mode tolak dengan pengecualian seperlunya.
- Masukkan akun-akun admin ke grup Protected Users di Active Directory, yang membuat akun tersebut tidak bisa memakai NTLM.
4. Tutup jalur relay
Wajibkan SMB signing, LDAP signing dan channel binding di domain controller, serta aktifkan Extended Protection for Authentication di layanan seperti AD CS dan Exchange. Dengan begitu, hash yang bocor tidak bisa diteruskan ke layanan lain.
5. Edukasi pengguna
Ingatkan karyawan untuk tidak membuka file pesan (misalnya berekstensi .msg atau .oft) yang tidak terduga, terutama dari pengirim luar. Sambil menunggu semua komputer diperbarui, sebagian tim keamanan juga memilih menahan lampiran jenis ini dari pengirim eksternal di gateway email. Ini langkah tambahan dari praktisi keamanan, bukan solusi resmi Microsoft.
Apa yang Belum Diketahui
- Microsoft belum mengungkap siapa pelaku serangan, siapa sasarannya, dan seberapa luas serangan terjadi.
- Belum ada indikator kompromi (IOC) resmi yang dipublikasikan.
- Microsoft juga belum merinci jenis file pesan yang dipakai atau bagian mana dari file yang memicu koneksi ke server penyerang.
- CISA mencatat status pemakaian dalam kampanye ransomware sebagai “Unknown” (belum diketahui).
Untuk organisasi yang khawatir sudah menjadi sasaran, tanda yang perlu dicari antara lain koneksi keluar dari outlook.exe ke port 445 alamat internet, log NTLM keluar ke server asing (Event ID 8001 di log Microsoft-Windows-NTLM/Operational), serta login NTLM dari sumber yang tidak biasa. Jika ditemukan, segera ganti kata sandi akun terkait, cabut sesi aktifnya, dan periksa apakah ada sertifikat atau metode MFA baru yang terdaftar tanpa sepengetahuan pemiliknya.
Konteks: Patch Tuesday November 2026
Celah ini ditambal bersamaan dengan rilis pembaruan keamanan bulanan Microsoft (Patch Tuesday) pada 10 November 2026. Rilis pembaruan keamanan Microsoft 365 Apps bulan ini saja memuat banyak celah di Excel, Word, Outlook, dan aplikasi Office lain. Dari seluruh celah yang ditambal Microsoft bulan ini, CVE-2026-124194 adalah satu-satunya yang ditandai sudah dieksploitasi, sehingga layak menjadi prioritas pertama.
Menariknya, penemuan celah ini dikreditkan kepada Benoit Sevens yang bekerja “menggunakan Claude bersama Anthropic”. Ini satu lagi contoh bagaimana AI kini ikut dipakai dalam riset keamanan, seperti juga pada celah kritis Apache HTTP/2 yang ditambal di hari berikutnya.
Daftar Periksa untuk Tim IT
- Pastikan semua komputer dengan Outlook klasik sudah memakai build Office November 2026 atau lebih baru.
- Prioritaskan komputer yang dipakai admin, helpdesk, dan pimpinan.
- Blokir SMB (TCP 445/139) keluar ke internet.
- Terapkan pembatasan NTLM keluar, mulai dari mode audit.
- Masukkan akun admin ke grup Protected Users.
- Aktifkan SMB signing, LDAP signing dan channel binding, serta EPA.
- Ganti Office 2016 dan 2019 yang masih tersisa.
- Ingatkan pengguna soal lampiran file pesan yang mencurigakan.
- Periksa log untuk tanda koneksi NTLM ke server luar.
Kesimpulan
CVE-2026-124194 mungkin hanya bernilai 6,5, tetapi tiga hal membuatnya mendesak: celah ini sudah dipakai penyerang, sasarannya adalah kredensial pengguna yang bisa membuka jalan ke seluruh jaringan, dan Outlook dipakai di hampir semua kantor. Perbaikannya sudah tersedia. Pastikan Office di setiap komputer sudah diperbarui, dan manfaatkan momen ini untuk menutup kebiasaan lama yang membuat serangan pencurian hash NTLM terus berhasil: SMB yang terbuka ke internet dan NTLM yang tidak dibatasi.
Butuh bantuan memeriksa dan mengamankan Microsoft 365 atau jaringan kantor Anda? Konsultasikan dengan tim kami lewat WhatsApp.
Sumber
- CVE-2026-124194: Microsoft Outlook Spoofing Vulnerability (Microsoft Security Response Center)
- Known Exploited Vulnerabilities Catalog (CISA)
- Release notes for Microsoft 365 Apps security updates (Microsoft Learn)
- Microsoft Outlook Zero-Day CVE-2026-124194 Exploited in the Wild Before November Patch (SecurityOnline)
- Outlook CVE-2026-124194 NTLM Zero-Day: Patching and Hunting (ThreatDefence)
- CVE-2023-23397: Microsoft Outlook Elevation of Privilege Vulnerability (MSRC)
- Protected Users Security Group (Microsoft Learn)