Microsoft-ի Patch Tuesday-ը ուղղում է 1,094 սխալ, այդ թվում՝ շահագործված Outlook խոցելիությունը

Microsoft-ի նոյեմբերյան Patch Tuesday թողարկումը ուղղում է 1,094 սխալ իր արտադրանքներում, այդ թվում՝ հարձակվողների կողմից արդեն շահագործված Outlook կեղծման խոցելիությունը։ Թարմացումը նաև ներառում է երկու առանց սեղմման կրիտիկական խոցելիություն և Xbox Live Networking Service-ի կրիտիկական խոցելիություն։

Շահագործված Outlook խոցելիություն

Outlook-ի խնդիրը՝ CVE-2026-124194, ունի 6.5 CVSS վարկանիշ։ Dustin Childs-ը զգուշացրել է, որ կեղծման պիտակը թերագնահատում է դրա ազդեցությունը։ Հարձակվողը ուղարկում է հատուկ պատրաստված հաղորդագրության ֆայլ և համոզում օգտատիրոջը այն բացել; Outlook-ը այնուհետև միանում է հարձակվողի կողմից վերահսկվող ցանցային հասցեին՝ առանց ցույց տալու արտաքին բովանդակության սովորական զգուշացումը, և բացահայտում է օգտատիրոջ NTLMv2 հեշը։ Հարձակվողը կարող է օգտագործել այդ հեշը՝ օգտատիրոջ անունից նույնականացվելու համար։ Microsoft-ը խոցելիությունը նշել է որպես շահագործված, բայց չի ասել, թե երբ են սկսվել հարձակումները, ով է օգտագործում այն, կամ ինչ են անում հարձակվողները շահագործումից հետո։ Childs-ը ասել է, որ այլ չարագործներ կարող են սկանավորել խոցելի տարբերակները և հակադարձ ինժեներել պատչը այժմ, երբ ուղղումը հրապարակային է, ուստի ադմինիստրատորները պետք է այն առաջնահերթություն տան և հսկեն մուտքի արկղերը կասկածելի ֆայլերի համար։

Առանց սեղմման սպառնալիքներ

Երկու կրիտիկական խոցելիություն՝ CVE-2026-116928 և CVE-2026-119958, յուրաքանչյուրն ունի 9.8 CVSS վարկանիշ և չի պահանջում օգտատիրոջ մասնակցություն։ CVE-2026-116928-ը Microsoft Windows Search Component-ում սահմաններից դուրս գրելու խոցելիություն է, որը կարող է հանգեցնել հեռակա կոդի կատարման։ Չնույնականացված հարձակվողը կարող է չարաշահել Exchange-ի որոնման գործառույթը՝ ուղարկելով էլեկտրոնային նամակ հատուկ պատրաստված կցորդով; Exchange-ը ինքնաբերաբար մշակում է կցորդը ինդեքսավորման համար, ուստի ստացողին պետք չէ բացել նամակը կամ կցորդը։ Հաջող շահագործումը կարող է թույլ տալ հարձակվողին կատարել կոդ տուժած մշակման ծառայության թույլտվություններով։ CVE-2026-119958-ը Windows-ի LDAP իրականացման մեջ սահմաններից դուրս գրելու խոցելիություն է, որը կարող է թույլ տալ չնույնականացված հարձակվողներին հեռակա կատարել կոդ առանց օգտատիրոջ մասնակցության՝ խոցելի համակարգերին հատուկ պատրաստված LDAP հարցումներ ուղարկելով և հնարավոր է վտանգելով դոմենային վերահսկիչները։ Childs-ը նաև հաշվել է 30 CVE որդանման ռիսկով, որոնք պահանջում են զրոյական նույնականացում և զրոյական օգտատիրոջ մասնակցություն ցանցի միջոցով։

CVE-ների հաջորդական ծավալ

Հոկտեմբերին եղել է 1,474 CVE, ինչը սա դարձնում է երկրորդ անընդմեջ ամիսը՝ ավելի քան 1,000 CVE-ով։ CVE-2026-124194-ը միակն է ակտիվ շահագործման տակ, և 1,094-ից ոչ մեկը չի նշված որպես հրապարակային հայտնի։ Childs-ը ասել է, որ դա չպետք է կեղծ հանգստություն տա։ Նա ասել է, որ 1,000 CVE-ից ավելի հաջորդական ամիսների գրանցումը ապացուցում է, որ ավտոմատացված սխալների որոնումը մշտապես վերակայել է պատչերի ծավալը, և որ AI-ը պատչի տարբերության վերլուծությունը և շահագործման գեներացիան դարձնում է գրեթե ակնթարթային, ուստի սպառնալիքի պատուհանը բացվում է, երբ թարմացումները թողարկվում են։ Պաշտպանները պետք է հրաժարվեն լայն տրիաժից և ձեռնարկեն անմիջական պաշտպանական գործողություններ. նախ պատչել Exchange-ը և դոմենային վերահսկիչները, մեկուսացնել բացահայտված ցանցային ծառայությունները, ինչպիսիք են DNS-ը և DHCP-ը, և ստուգել ձեռքով կատարված ադմինիստրատիվ ուղղումները ամպային ծառայություններում։

Xbox ծառայության խոցելիություն

Windows Xbox Live Networking Service-ում կրիտիկական խոցելիությունը՝ CVE-2026-112967, կարող է թույլ տալ հեռակա կոդի կատարում։ Դա 9.8 CVSS վարկանիշով կույտի գերլցման խոցելիություն է, որը չի պահանջում նույնականացում կամ օգտատիրոջ մասնակցություն։ Ադմինիստրատորները պետք է ծառայությունը գործարկող խոցելի Windows համակարգերը ներառեն իրենց պատչման պլաններում։

Աղբյուրներ՝ The Register