Outlook e Chrome com falhas já exploradas: o que atualizar na empresa

Em dois dias, a Google e a Microsoft corrigiram duas falhas que, segundo as próprias empresas, já estão a ser usadas em ataques reais. Uma está no Google Chrome, o navegador mais usado nos computadores das empresas. A outra está no Outlook para Windows, o programa de email de muitos escritórios portugueses. Nenhuma delas exige conhecimentos técnicos para ser resolvida: basta atualizar. Mas, numa PME sem departamento de informática, é fácil que um portátil fique semanas sem reiniciar o navegador ou sem receber a atualização do Office. Explicamos o que está confirmado, o que ainda não se sabe e o que deve verificar esta semana.

Chrome: a oitava falha explorada de 2026

Na segunda-feira, 9 de novembro, a Google publicou uma atualização do Chrome para computador com nove correções de segurança. Uma delas, a CVE-2026-125350, é classificada como de gravidade alta e descrita como um erro de memória do tipo «use after free» no componente que processa XML, um formato de dados que o navegador lê em certas páginas. A frase que importa é curta: «A Google tem conhecimento de que existe um exploit para a CVE-2026-125350 em circulação».

A falha foi comunicada à Google por um investigador anónimo a 6 de novembro, três dias antes da correção. Segundo a SecurityWeek e o BleepingComputer, é a oitava falha do Chrome explorada em ataques e corrigida este ano.

O que não se sabe: a Google não revelou quem está a explorar a falha, contra quem, nem como o ataque chega à vítima. Os detalhes técnicos ficam reservados até a maioria dos utilizadores ter a correção, uma prática habitual da empresa. Qualquer texto que hoje descreva «como funciona o ataque» está a especular.

As versões corrigidas são a 157.0.8103.50/.51 para Windows e Mac e a 157.0.8103.50 para Linux. A Google diz que a distribuição decorre «nos próximos dias ou semanas». Segundo a Malwarebytes, a versão 157.0.8103.50 para Android saiu no mesmo dia, com as mesmas correções.

Outlook: um ficheiro de mensagem que entrega a sua identidade

No dia seguinte, terça-feira, 10 de novembro, a Microsoft publicou as atualizações mensais de segurança. Entre centenas de correções, a única que a empresa assinala como já explorada é a CVE-2026-124194, no Outlook. A Microsoft classifica-a como uma falha de «falsificação» (spoofing), de gravidade moderada, com 6,5 pontos em 10 na escala CVSS.

O mecanismo, tal como descrito no aviso da Microsoft e citado pela SecurityWeek: um atacante envia um ficheiro de mensagem preparado e convence a vítima a abri-lo no Outlook. Ao abrir, o Outlook pode ligar-se a um servidor controlado pelo atacante sem mostrar o aviso habitual de conteúdo externo. Nessa ligação pode ser revelado o chamado hash NTLMv2, uma forma cifrada das credenciais do Windows, que o atacante pode usar para se fazer passar pelo utilizador.

Há dois pormenores importantes. Primeiro, é preciso que a pessoa abra o ficheiro: a Microsoft diz que a falha não é ativada pelo painel de pré-visualização. Segundo, a gravidade «moderada» não deve tranquilizar ninguém. Como disse Jack Bicer, da empresa de segurança Action1, citado pelo The Hacker News, «o email é a porta de entrada mais fácil em qualquer empresa».

A Microsoft lista como afetados o Outlook para Windows incluído no Microsoft 365 Apps for Enterprise, no Office LTSC 2021 e no Office LTSC 2024, em 32 e 64 bits. A empresa não revelou quem está por trás dos ataques nem quantas vítimas houve. A agência norte-americana de cibersegurança (CISA) incluiu a falha no seu catálogo de vulnerabilidades exploradas e deu às agências federais dos EUA até 24 de novembro para corrigir. Esse prazo não se aplica às empresas portuguesas, mas é um bom indicador da urgência. O CERT japonês (JPCERT/CC) também emitiu um alerta a recomendar a atualização imediata.

O que fazer esta semana, em cinco passos

1. Chrome em todos os computadores. Em cada posto, abra o menu do Chrome, vá a Ajuda e depois a «Acerca do Google Chrome». O navegador procura a atualização e pede para reiniciar. A versão deve começar por 157.0.8103.50 ou superior. Não se esqueça de navegadores que fiquem abertos dias seguidos: a atualização só se aplica depois de reiniciar.
2. Outros navegadores baseados no Chrome. O Edge, o Brave e o Opera usam a mesma base (Chromium). À data deste artigo, não encontrámos confirmação oficial de cada fabricante sobre esta falha em concreto, por isso confirme nas definições de cada navegador que está na versão mais recente.
3. Outlook e Office. No Outlook clássico, vá a Ficheiro e depois a «Conta do Office» para ver a edição e a versão, e use «Opções de atualização» para atualizar já. Para o Office LTSC, as versões corrigidas indicadas são a 16.0.14334.21048 (LTSC 2021) e a 16.0.17932.21140 (LTSC 2024), segundo a Suped. No Microsoft 365 Apps, a versão depende do canal de atualização da sua empresa.
4. Avisar a equipa. Até tudo estar atualizado, ninguém deve abrir anexos de mensagem (ficheiros de email dentro de emails) que não esperava, mesmo que o remetente pareça conhecido. Se alguém já abriu algo suspeito, registe quando e em que computador, e mude a palavra-passe dessa conta.
5. Atualizações automáticas ligadas. Esta semana é um bom momento para confirmar que o Windows, o Office e os navegadores estão configurados para se atualizarem sozinhos e que os computadores são reiniciados pelo menos uma vez por semana.

Porque é que isto também diz respeito ao seu site

Pode parecer que estas falhas só afetam os computadores do escritório. Mas é a partir desses computadores que se entra no painel do site, na loja online, no alojamento e no registo do domínio. Uma identidade roubada através do Outlook, ou um navegador comprometido, é muitas vezes o primeiro passo de um ataque ao site. Já vimos este padrão em casos como a falha do WordPress explorada e assinalada pela CISA e nos alertas de segurança verdadeiros da Google usados em burlas.

Algumas medidas simples reduzem muito o risco: autenticação em dois passos em todas as contas de administração, palavras-passe diferentes para o email e para o painel do site, e uma lista de quem tem acesso a quê. Se a sua empresa ainda usa versões do Windows sem suporte, leia também o nosso artigo sobre o Windows 11 24H2 sem atualizações.

Em resumo

Há duas falhas confirmadas pelos próprios fabricantes como exploradas: a CVE-2026-125350 no Chrome (corrigida a 9 de novembro) e a CVE-2026-124194 no Outlook para Windows (corrigida a 10 de novembro). Os atacantes e as vítimas não foram identificados. A solução para ambas é a mesma: atualizar e reiniciar, hoje.

Se suspeitar que uma conta já foi usada por terceiros, siga o nosso guia sobre o que fazer nas primeiras horas. E se quiser saber o que o seu site e o seu domínio mostram a quem procura uma porta de entrada, a auditoria gratuita da MarcaWeb dá-lhe um primeiro retrato em poucos minutos.