CVE-2026-124194: Celah Microsoft Outlook Dieksploitasi, Satu File Bisa Bocorkan Hash NTLMv2

CVE-2026-124194 adalah celah spoofing di Microsoft Outlook (CVSS 6.5, label Moderate) yang sudah dieksploitasi sebelum ditambal. Jika pengguna membuka file pesan berbahaya, Outlook bisa menyambung ke lokasi jaringan milik penyerang tanpa peringatan konten eksternal yang biasa, sehingga hash NTLMv2 pengguna bisa bocor. Produk yang terdampak: Microsoft 365 Apps for Enterprise, Office LTSC 2021, dan Office LTSC 2024.

Celah ini jadi sorotan sejak Patch Tuesday November 2026 (10 November). Microsoft menandainya "Exploitation Detected", dan CISA memasukkannya ke katalog Known Exploited Vulnerabilities (KEV). Menurut The Hacker News, instansi federal AS diberi tenggat 24 November 2026. Perbaikannya sudah tersedia lewat pembaruan keamanan bulan ini. Skor 6.5 terlihat kecil, tetapi seorang peneliti dari Action1 menilai label Moderate meremehkan risikonya karena serangan sudah terjadi, hanya perlu satu klik pada file email, dan Outlook dipakai hampir di semua organisasi.

Ringkasan CVE-2026-124194

Aspek	Detail
Jenis celah	Spoofing; Product UI tidak memperingatkan pengguna atas tindakan berbahaya (CWE-356)
Produk terdampak	Microsoft 365 Apps for Enterprise, Office LTSC 2021, Office LTSC 2024 (menurut SecurityWeek)
CVSS	Base 6.5, Temporal 6.2 (vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N), severity Moderate, skor dari Microsoft
Syarat serangan	Penyerang tanpa autentikasi mengirim file pesan khusus; korban harus membuka file itu. Preview Pane bukan vektor serangan
Dampak	Hash NTLMv2 pengguna terungkap ke penyerang
Versi perbaikan	Pembaruan keamanan Microsoft rilis 10 November 2026. Nomor build spesifik tidak tercantum di sumber yang kami buka; cek panduan MSRC untuk edisi Office Anda
Status eksploitasi	Dieksploitasi (Microsoft: "Exploitation Detected"); ditambahkan ke CISA KEV
Pengungkapan publik sebelum patch	Tidak
Penemu	Peneliti dengan nama "nono" dan Benoît Sevens (disebutkan memakai model Claude milik Anthropic)

Bagaimana celah ini bekerja?

Saat Outlook membuka konten yang menunjuk ke sumber di luar (misalnya lokasi jaringan), biasanya ada peringatan konten eksternal. Pada celah ini, peringatan tersebut tidak muncul. Menurut advisory Microsoft, penyerang tanpa autentikasi mengirim file pesan yang dirancang khusus dan membujuk korban membukanya. Saat dibuka, Outlook menyambung ke lokasi jaringan yang dikontrol penyerang tanpa peringatan yang biasa, dan informasi autentikasi bisa terungkap.

Microsoft menjelaskan bahwa yang bocor adalah hash NTLMv2 milik pengguna, yang bisa dipakai penyerang untuk melakukan autentikasi sebagai pengguna tersebut. Jack Bicer dari Action1 menyebut hash yang tertangkap dapat dipakai untuk masuk sebagai korban, membaca datanya, dan bergerak ke sistem lain yang bisa dijangkau. Microsoft belum menyebut pelaku, dan belum merinci cara serangan berlangsung di lapangan. Advisory juga tidak menjelaskan apakah celah ditemukan sebelum atau sesudah eksploitasi dimulai.

Siapa yang terdampak?

• Organisasi yang memakai Microsoft 365 Apps for Enterprise, Office LTSC 2021, atau Office LTSC 2024 dengan Outlook yang belum diperbarui sejak Patch Tuesday 10 November 2026.
• Pengguna yang sering menerima lampiran atau file pesan dari pengirim luar, seperti tim finance, HR, dan customer service.
• Lingkungan yang mengandalkan NTLM untuk autentikasi, karena yang bocor adalah hash NTLMv2.

Daftar produk di atas mengikuti laporan SecurityWeek. Lihat entri CVE-2026-124194 di MSRC Update Guide untuk daftar lengkap build dan edisi.

Bagaimana cara mengecek sistem saya?

Sumber yang kami buka tidak memuat perintah deteksi, indikator kompromi (IOC), maupun aturan log khusus untuk celah ini, jadi kami tidak mencantumkan perintah apa pun. Langkah pengecekan yang bisa dilakukan:

1. Buka halaman CVE-2026-124194 di MSRC Update Guide dan cocokkan edisi Office Anda dengan pembaruan yang terdaftar.
2. Pastikan pembaruan keamanan November 2026 sudah terpasang di semua perangkat yang menjalankan Outlook, lewat konsol manajemen perangkat (misalnya Intune atau WSUS) atau fitur pembaruan Office.
3. Periksa log dan telemetri jaringan untuk koneksi keluar yang tidak lazim dari perangkat pengguna ke host eksternal setelah pengguna membuka file pesan. Ini praktik umum untuk kasus pencurian hash, bukan panduan dari advisory.

Mitigasi dan patch

Patch resmi

1. Pasang pembaruan keamanan Microsoft November 2026 untuk Microsoft 365 Apps for Enterprise, Office LTSC 2021, dan Office LTSC 2024.
2. Prioritaskan perangkat yang dipakai staf yang sering menerima email dari luar.
3. Pantau MSRC jika ada revisi advisory, karena saat ini baru versi 1 ("Information published").

Mitigasi sementara

Advisory Microsoft yang kami baca tidak mencantumkan workaround resmi. Berdasarkan syarat serangannya, langkah berikut masuk akal selama patch belum terpasang, tetapi ini saran kehati-hatian dan bukan pengganti patch:

1. Ingatkan pengguna agar tidak membuka file pesan atau file Office dari pengirim yang tidak dikenal.
2. Laporkan ke tim keamanan jika ada file pesan mencurigakan, terutama yang tidak diharapkan.

Checklist untuk hari ini

• Tentukan perangkat mana yang memakai Microsoft 365 Apps for Enterprise, Office LTSC 2021, atau Office LTSC 2024.
• Pastikan pembaruan November 2026 terpasang, mulai dari pengguna yang paling sering menerima email eksternal.
• Kirim pengingat singkat ke karyawan soal file pesan dari pengirim tak dikenal.
• Minta tim keamanan memeriksa koneksi keluar yang janggal dari perangkat pengguna Outlook.
• Catat tenggat KEV 24 November 2026 sebagai acuan prioritas, meskipun tenggat itu mengikat instansi federal AS dan bukan perusahaan di Indonesia.

FAQ

Apakah celah ini bisa terpicu hanya lewat Preview Pane?

Tidak. Microsoft menyatakan Preview Pane bukan vektor serangan. Pengguna harus membuka file pesan yang berbahaya.

Kenapa celah "Moderate" dengan CVSS 6.5 perlu segera ditambal?

Karena Microsoft sudah mendeteksi eksploitasinya dan CISA memasukkannya ke KEV. Skor CVSS tidak mencerminkan fakta bahwa serangan sudah berlangsung.

Apa itu hash NTLMv2 dan kenapa berbahaya jika bocor?

Hash NTLMv2 adalah bukti autentikasi turunan dari kredensial pengguna. Menurut Microsoft, penyerang bisa memakainya untuk melakukan autentikasi sebagai pengguna tersebut.

Apakah ada workaround selain patch?

Advisory Microsoft yang kami baca tidak mencantumkan workaround. Satu-satunya perbaikan resmi adalah pembaruan keamanan.

Siapa pelaku serangannya?

Belum diketahui. Microsoft belum mengaitkan serangan dengan kelompok tertentu dan belum memberi detail teknis eksploitasi di lapangan.

Angka total celah yang ditambal Microsoft bulan ini berapa?

Sumber berbeda angka: The Hacker News menulis 1.259, SecurityWeek 1.094, dan SANS Internet Storm Center 1.260. Perbedaan ini kemungkinan akibat cara menghitung CVE, misalnya apakah CVE pihak ketiga ikut dihitung. Untuk Outlook, yang penting adalah CVE-2026-124194.

Untuk contoh pembahasan celah lain yang dieksploitasi dan masuk KEV, baca juga CVE-2026-97229 di GitLab. Kalau tim Anda membangun otomasi laporan keamanan atau notifikasi, kunci API bisa dibuat di console.apipedia.id.

Sumber

• Microsoft MSRC: data advisory CVE-2026-124194 (sumber primer)
• The Hacker News: Microsoft Patches 1,259 Flaws, Including Exploited Outlook Bug That May Expose NTLMv2 Hashes
• SecurityWeek: Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft
• SANS Internet Storm Center: Microsoft Patch Tuesday November 2026
• Dark Reading: feed RSS (November Patch Tuesday, 10 November 2026)