Microsoft выпустила патчи для 1200 уязвимостей, включая 0-day в Outlook
В ноябре разработчики Microsoft устранили более 1200 уязвимостей в продуктах компании. Среди исправленных проблем числятся 66 критических багов, а также активно эксплуатируемая 0-day-уязвимость в Outlook, позволявшая похищать NTLMv2-хеши.
Следует отметить, что суммарно в ноябрьском бюллетене Microsoft фигурируют 1259 CVE, включая 165 уязвимостей в сторонних компонентах. Если не принимать последние во внимание, в этот «вторник обновлений» вошли патчи для 1094 багов.
Больше всего исправлений в этом месяце пришлось на саму Windows — 726 уязвимостей, а за ней следует Office со 174 багами. Из 66 критических уязвимостей 48 позволяли удаленно выполнить произвольный код, 15 были связаны с повышением привилегий, а еще три представляли собой проблемы типа use-after-free в браузере Edge.
Единственной уязвимостью нулевого дня на этот раз стала CVE-2026-124194, обнаруженная в Microsoft Outlook и получившая 6,5 балла по шкале CVSS. В компании подчеркивают, что этот баг уже используется в реальных атаках.
CVE-2026-124194 позволяла неавторизованному злоумышленнику прислать жертве специально подготовленный файл и убедить пользователя открыть его в уязвимой версии Microsoft Outlook. После этого Outlook мог подключиться к сетевому ресурсу атакующего, не предупреждая пользователя о происходящем.
Специалисты Microsoft объясняют, что при таком соединении Windows может автоматически попытаться пройти NTLM-аутентификацию, в результате чего атакующий получит NTLMv2-хеш пользователя. Атакующий может перехватить эти данные, а затем попытаться подобрать пароль офлайн или использовать полученную информацию для аутентификации от имени жертвы.
Проблема затрагивала Microsoft 365 Apps for Enterprise, Office LTSC 2021 и Office LTSC 2024.
Пока в Microsoft не уточняют, как именно хакеры использовали этот баг, и с какими группировками могут быть связаны эти атаки.
Ноябрь стал вторым месяцем подряд, когда специалисты Microsoft выпустили исправления более чем для 1000 CVE. Напомним, что в октябре разработчики исправили около 1400 уязвимостей, а в общей сложности с начала 2026 года инженеры компании устранили уже более 5200 багов.
