מיקרוסופט Patch Tuesday מתקן 1,094 באגים, כולל פגם Outlook מנוצל

גרסת Patch Tuesday של נובמבר של מיקרוסופט מתקנת 1,094 באגים במוצריה, כולל פגם התחזות של Outlook שכבר נוצל על ידי תוקפים. העדכון כולל גם שתי פגיעות קריטיות ללא אינטראקציה ופגם קריטי בשירות הרשת Xbox Live.

פגם Outlook שנוצל

הבעיה ב-Outlook, CVE-2026-124194, נושאת דירוג CVSS של 6.5. דסטין צ'יילדס הזהיר כי התווית 'התחזות' ממעיטה בהשפעתה. תוקף שולח קובץ הודעה שתוכנן במיוחד ומשכנע משתמש לפתוח אותו; Outlook מתחבר לאחר מכן למיקום רשת שבשליטת התוקף מבלי להציג את האזהרה הרגילה על תוכן חיצוני, וחושף את ה‑hash של NTLMv2 של המשתמש. התוקף יכול להשתמש באותו hash כדי לאמת את עצמו כמשתמש. מיקרוסופט סימנה את הפגם כמנוצל אך לא ציינה מתי החלו המתקפות, מי משתמש בו, או מה התוקפים עושים לאחר הניצול. צ'יילדס אמר כי תוקפים אחרים עשויים לסרוק גרסאות פגיעות ולהנדס לאחור את התיקון כעת שהוא פומבי, ולכן מנהלי מערכות צריכים לתעדף אותו ולפקח על תיבות דואר נכנסות לאיתור קבצים חשודים.

איומים ללא אינטראקציה

שתי פגיעות קריטיות, CVE-2026-116928 ו‑CVE-2026-119958, לכל אחת דירוג CVSS של 9.8 והן אינן דורשות אינטראקציה של משתמש. CVE-2026-116928 היא כתיבה מחוץ לגבולות ברכיב החיפוש של Microsoft Windows שעלולה להוביל להרצת קוד מרחוק. תוקף לא מאומת יכול לנצל את תכונת החיפוש ב‑Exchange על ידי שליחת דוא"ל עם קובץ מצורף שתוכנן במיוחד; Exchange מעבד אוטומטית את הקובץ לאינדקס, כך שהנמען אינו צריך לפתוח את הדוא"ל או את הקובץ. ניצול מוצלח עשוי לאפשר לתוקף להריץ קוד עם הרשאות שירות העיבוד המושפע. CVE-2026-119958 היא כתיבה מחוץ לגבולות במימוש של LDAP ב‑Windows שעלולה לאפשר לתוקפים לא מאומתים להריץ קוד מרחוק ללא אינטראקציה של משתמש, על ידי שליחת בקשות LDAP שתוכננו במיוחד למערכות פגיעות ועלולה לפגוע בבקרי תחום. צ'יילדס ספר גם 30 CVE עם סיכון תולעתי, הדורשים אפס אימות ואפס אינטראקציה של משתמש ברשת.

נפח CVE חודש אחר חודש

באוקטובר היו 1,474 CVE, מה שהופך את זה לחודש שני ברצף עם יותר מ‑1,000. CVE-2026-124194 הוא היחיד שנמצא תחת ניצול פעיל, ואף אחד מ‑1,094 אינו רשום כידוע לציבור. צ'יילדס אמר שאין בכך כדי לתת נחמה כוזבת. הוא אמר שרישום חודשים עוקבים עם יותר מ‑1,000 CVE מוכיח שציד באגים אוטומטי איפס לצמיתות את נפח התיקונים, ושבינה מלאכותית הופכת את השוואת התיקונים ויצירת הניצולים לכמעט מיידית, כך שחלון האיום נפתח כשהעדכונים יורדים. מגנים צריכים לוותר על מיון רחב ולנקוט פעולה הגנתית מיידית: לתקן תחילה את Exchange ואת בקרי התחום, לבודד שירותי רשת חשופים כגון DNS ו‑DHCP, ולאמת תיקונים מנהליים ידניים בשירותי ענן.

פגם בשירות Xbox

פגם קריטי בשירות הרשת Xbox Live של Windows, CVE-2026-112967, עלול לאפשר הרצת קוד מרחוק. זוהי פגיעות גלישת ערימה עם דירוג CVSS של 9.8 שאינה דורשת אימות או אינטראקציה של משתמש. על מנהלי מערכות לכלול מערכות Windows פגיעות שמריצות את השירות בתוכניות התיקון שלהם.

מקורות: The Register