InfoCuesta Radar
← Todos os alertas
Alta 8,8CTIR Gov

Injeção de comando em Microsoft Outlook.com

Publicado em · mais alertas de Microsoft

Compartilhar

Onde você quer compartilhar?

O Instagram não aceita link vindo do navegador do computador. Pelo celular, abra esta página e use “Instagram e outros apps”.

Gravidade
Alta
CVSS 8,8 (v3.1)
Exploração ativa
Não confirmada
ainda fora do catálogo KEV
Chance de exploração
9,8%
EPSS, próximos 30 dias
Fontes
1
1 oficial

Resumo

Foi divulgada uma vulnerabilidade em Microsoft Outlook.com do tipo injeção de comando. A gravidade é alta, com nota CVSS 8,8.

O CTIR Gov, centro de resposta a incidentes do Governo Federal, publicou o Alerta 95/2026.

Versões afetadas

  • Outlook.com: 1.0.0 até antes de 20260925.100
  • Windows 10 Version 1607: 10.0.14393.0 até antes de 10.0.14393.9612
  • Windows 10 Version 1809: 10.0.17763.0 até antes de 10.0.17763.9376
  • Windows 10 Version 21H2: 10.0.19044.0 até antes de 10.0.19044.7807
  • Windows 10 Version 22H2: 10.0.19045.0 até antes de 10.0.19045.7807
  • Windows 11 version 23H2: 10.0.22631.0 até antes de 10.0.22631.7652
  • Windows 11 Version 23H2: 10.0.22631.0 até antes de 10.0.22631.7652
  • Windows 11 Version 24H2: 10.0.26100.0 até antes de 10.0.26100.9711
  • Windows 11 Version 25H2: 10.0.26200.0 até antes de 10.0.26200.9711
  • Windows 11 version 26H1: 10.0.28000.0 até antes de 10.0.28000.3231
  • Windows 11 Version 26H2: 10.0.26300.0 até antes de 10.0.26300.9711
  • Windows Server 2012 R2: 6.3.9600.0 até antes de 6.3.9600.23470

Segundo o registro oficial do CVE. Confira a versão exata com o fabricante.

O que fazer

  1. Verifique se a sua empresa usa Microsoft Outlook.com e em qual versão.
  2. Aplique a atualização de segurança do fabricante (veja as referências abaixo).
  3. Se não der para atualizar agora, reduza a exposição, por exemplo restringindo o acesso pela internet. Isso não substitui a correção.

Linha do tempo das fontes

  1. CTIR Govoficial Alerta 95/2026 do CTIR Gov

Descrição oficial CVE.org, em inglês

Improper neutralization of special elements used in a command ('command injection') in Windows Shell allows an unauthorized attacker to bypass a security feature over a network.

Referências

Este alerta reúne informação pública de fontes oficiais e da imprensa especializada, revisada pela equipe InfocuestaSec antes de publicar. Ele não substitui o comunicado do fabricante. Não publicamos códigos de exploração.