Krytyczna luka zero-click w Outlooku. Microsoft zaleca szybką aktualizację

Majowy pakiet aktualizacji Microsoft Patch Tuesday przyniósł łatki dla 137 podatności, w tym dla krytycznej luki w Outlooku oznaczonej jako CVE-2026-40361. Problem polega na tym, że atakujący może przejąć kontrolę nad systemem ofiary bez konieczności kliknięcia przez nią w link czy załącznik. Luka ta stanowi poważne zagrożenie dla firm i instytucji korzystających z ekosystemu Exchange Server i Outlooka.

Czym jest CVE-2026-40361 i jak działa?

Podatność została odkryta przez Haifei Li, twórcę systemu wykrywania exploitów Expmon. Jak wyjaśnił badacz we wpisie na platformie X, luka znajduje się w bibliotece DLL używanej zarówno przez Worda, jak i Outlooka. To tzw. use-after-free, czyli błąd polegający na użyciu pamięci po jej zwolnieniu, co może prowadzić do zdalnego wykonania kodu.

Szczególnie niebezpieczny jest charakter ataku – zero-click. Oznacza to, że do wykorzystania luki wystarczy, aby ofiara otworzyła lub podglądała wiadomość e-mail w Outlooku. Nie ma potrzeby klikania w link, otwierania załącznika ani wykonywania jakiejkolwiek innej akcji. Jak skomentował Li: „Niebezpieczeństwo takich błędów zero-click w Outlooku polega na tym, że są wyzwalane w momencie, gdy ofiara czyta lub podgląda wiadomość e-mail – nie jest wymagane kliknięcie w link ani załącznik.”

Badacz porównał nową lukę do odkrytej przez siebie ponad dekadę temu podatności CVE-2015-6172 (nazwanej BadWinmail), którą wówczas określił mianem „zabójcy przedsiębiorstw”. Nowa luka ma ten sam wektor ataku i ten sam potencjalny wpływ. Li ostrzegł: „Zasadniczo każdy mógłby skompromitować CEO lub CFO, po prostu wysyłając e-mail. Zagrożenie doskonale omija firmowe firewalle i trafia bezpośrednio do skrzynki odbiorczej.”

Kto jest zagrożony i jakie są skutki?

Luka dotyczy przede wszystkim organizacji, które używają Microsoft Outlooka w środowisku Exchange Server. Atakujący może wysłać specjalnie spreparowaną wiadomość e-mail, która po otwarciu lub podglądzie w Outlooku uruchomi złośliwy kod na komputerze ofiary. W efekcie atakujący może uzyskać pełną kontrolę nad systemem, wykraść dane, zainstalować złośliwe oprogramowanie czy przemieszczać się po sieci firmowej.

Microsoft przyznał luce ocenę „exploitation more likely”, co oznacza, że według producenta istnieje duże prawdopodobieństwo, że atakujący stworzą działający exploit. Co prawda sam Li przyznał, że opracował jedynie dowód koncepcji (PoC), a nie w pełni działający exploit, ale dodał, że kreatywności atakujących nie należy lekceważyć.

Warto dodać, że w majowym Patch Tuesday nie ma informacji o aktywnym wykorzystywaniu tej luki w atakach. Mimo to, ze względu na charakter zero-click i łatwość potencjalnego wykorzystania, administratorzy powinni potraktować tę aktualizację priorytetowo.

Jak się chronić przed CVE-2026-40361?

Podstawowym i najskuteczniejszym środkiem ochrony jest niezwłoczne zainstalowanie aktualizacji wydanej przez Microsoft w ramach Patch Tuesday z maja 2026 roku. Luka została załatana, a użytkownicy, którzy zainstalują poprawkę, są bezpieczni.

Do czasu zastosowania łatki badacz zaleca jedno obejście: „Ponieważ błędy znajdują się w silniku renderowania wiadomości e-mail w Outlooku, trudno je złagodzić lub zablokować (choć ustawienie Outlooka tak, aby renderował wiadomości e-mail wyłącznie w formacie czystego tekstu, jest skutecznym rozwiązaniem łagodzącym).” Oznacza to, że tymczasowo można skonfigurować Outlooka, aby wyświetlał wiadomości w formacie plain text, co uniemożliwi wykorzystanie luki związanej z renderowaniem bogatej treści HTML.

Dla administratorów kluczowe jest również:

• Monitorowanie systemów pod kątem nietypowych procesów uruchamianych po otwarciu wiadomości e-mail.
• Edukowanie użytkowników, aby zgłaszali podejrzane wiadomości, nawet jeśli nie wymagają one interakcji.
• Segmentacja sieci i ograniczenie uprawnień, aby zminimalizować potencjalne szkody w przypadku udanego ataku.

Więcej informacji o luce można znaleźć w artykule SecurityWeek opisującym szczegóły podatności oraz w analizie Cisco Talos dotyczącej majowego Patch Tuesday.

Co dalej?

Majowy Patch Tuesday to jeden z większych w tym roku. Oprócz CVE-2026-40361 warto zwrócić uwagę na inne krytyczne luki, w tym CVE-2026-41089 w usłudze Netlogon (umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia) oraz szereg podatności w SharePoint i Microsoft Office. Administratorzy powinni przejrzeć pełną listę poprawek i wdrożyć je w swoich środowiskach zgodnie z harmonogramem zarządzania podatnościami.

Przypadek CVE-2026-40361 pokazuje, że nawet pozornie bezpieczne czynności, takie jak czytanie e-maili, mogą nieść ze sobą ryzyko. Dlatego tak ważne jest szybkie reagowanie na komunikaty producenta i utrzymywanie systemów w aktualnym stanie.