Falha no Outlook vaza credenciais do Windows: como atualizar o Office
Microsoft corrigiu falha do Outlook já usada por hackers para capturar credenciais do Windows. Veja quem é afetado, como atualizar o Office e como se proteger.
Quem usa o Outlook do Microsoft 365 ou do Office LTSC 2021 e 2024 precisa instalar a atualização de segurança liberada pela Microsoft em 10 de novembro de 2026. Ela corrige a falha CVE-2026-124194, que criminosos já exploravam para capturar dados de login do Windows, segundo o Olhar Digital.
O ataque depende de a vítima abrir um arquivo de mensagem preparado pelo golpista. Ao ser aberto, o arquivo faz o Outlook se conectar a um servidor do criminoso sem o aviso habitual de conteúdo externo, e nesse caminho vai junto o hash NTLMv2 da senha do Windows. O hash não é a senha em texto, mas pode ser usado para tentar descobri-la ou para se passar pelo usuário em outros sistemas.
Quem precisa atualizar
O alerta oficial cita três produtos. Se você usa um deles, a correção é para você:
- Microsoft 365 Apps (o Office por assinatura, inclusive o pessoal e o familiar);
- Office LTSC 2021;
- Office LTSC 2024.
A Microsoft classificou a falha como moderada (nota 6,5), mas a agência americana de cibersegurança, a CISA, incluiu o problema no catálogo de vulnerabilidades exploradas na prática. A Tenable, empresa de segurança, colocou a correção como prioridade do pacote do mês, de acordo com a análise da Tenable. O painel de visualização do Outlook não dispara o ataque: é preciso abrir o arquivo.
Atualizar o Office no Windows em cinco passos
- Abra o Outlook (ou o Word, o caminho é o mesmo).
- Clique em Arquivo e depois em Conta do Office (em algumas versões aparece só Conta).
- No quadro Atualizações do Office, clique em Opções de Atualização.
- Escolha Atualizar Agora e espere o download terminar. O Office pode pedir para fechar os programas abertos.
- Volte ao mesmo menu e clique em Sobre o Outlook para ver a versão e a data da compilação instalada.
Rode também o Windows Update (Configurações, Windows Update, Verificar se há atualizações). O pacote de novembro traz correções para o próprio Windows, e manter os dois em dia fecha outras portas.
Não aparece o botão Opções de Atualização
Isso costuma acontecer em computadores de empresa, em que a área de TI controla as atualizações. Nesse caso, avise o suporte e pergunte se a correção de novembro já foi aplicada. Em casa, se o botão sumiu, o Office pode ter sido instalado por um pacote de loja ou estar com atualizações desativadas; reativar pelo mesmo menu (Habilitar Atualizações) resolve.
Tenho Office 2016 ou 2019
Essas versões não aparecem no alerta, mas não por estarem seguras. O suporte do Office 2016 e do Office 2019 terminou em outubro de 2025, e a Microsoft deixou de publicar correções para elas. Quem segue nessas edições fica exposto a qualquer falha nova. Para uso pessoal, migrar para o Microsoft 365 ou para o Office 2024 é o caminho para voltar a receber atualizações; usar o Outlook na web enquanto decide reduz o risco com anexos.
Uso o Outlook no navegador ou no celular
O alerta não lista o Outlook na web nem os apps de Android e iPhone entre os afetados. Mesmo assim, mantenha os apps atualizados pela loja do aparelho.
Como reconhecer o arquivo usado no golpe
O criminoso precisa convencer você a abrir uma mensagem anexada, normalmente com extensão .msg ou outro arquivo do Office. Desconfie quando:
- o anexo é “um e-mail dentro do e-mail”, vindo de remetente que você não conhece;
- a mensagem pressiona com prazo (boleto, intimação, nota fiscal, cancelamento de conta);
- o remetente conhecido manda algo fora do padrão, sem contexto.
Na dúvida, confirme por outro canal antes de abrir. A Microsoft afirma que o ataque exige interação do usuário, então esse cuidado bloqueia a falha mesmo em quem ainda não atualizou.
Camada extra: verificação em duas etapas na conta
Se o hash vazar e alguém conseguir chegar à sua senha, a verificação em duas etapas impede o login sem o segundo fator. Ative na conta Microsoft (account.microsoft.com, Segurança) e use um app autenticador. O guia de como atualizar o Microsoft Authenticator mostra como deixar o app em dia.
Um aviso final: nos dias seguintes a uma falha famosa, circulam e-mails falsos com o assunto “atualize seu Outlook agora”, que levam a páginas de login clonadas. A Microsoft não pede atualização por link. Atualize sempre pelo próprio programa, como no passo a passo acima.
