Microsoft-ის Patch Tuesday 1 094 ხარვეზს ასწორებს, მათ შორის გამოყენებულ Outlook-ის სისუსტეს

Microsoft-ის ნოემბრის Patch Tuesday განახლებამ 1 094 ხარვეზი გამოასწორა, მათ შორის Outlook-ის სპუფინგის სისუსტე, რომელსაც თავდამსხმელები უკვე იყენებენ. გამოსწორდა აგრეთვე ორი კრიტიკული დაუცველობა მომხმარებლის მოქმედების გარეშე და Xbox Live Networking Service-ის კრიტიკული ხარვეზი.

გამოყენებული Outlook-ის ხარვეზი

Outlook-ის ხარვეზს, CVE-2026-124194, CVSS-ის 6,5 რეიტინგი აქვს. დასტინ ჩაილდსმა გააფრთხილა, რომ „სპუფინგის“ იარლიყი მის რეალურ გავლენას ნაკლებად ასახავს. თავდამსხმელი აგზავნის სპეციალურ შეტყობინების ფაილს და არწმუნებს მომხმარებელს გახსნაში; Outlook უკავშირდება თავდამსხმელის კონტროლქვეშ არსებულ ქსელურ მდებარეობას გარე კონტენტის ჩვეული გაფრთხილების გარეშე და ამხელს მომხმარებლის NTLMv2 ჰეშს, რომლითაც თავდამსხმელს მომხმარებლის სახით ავთენტიფიკაცია შეუძლია. Microsoft-მა ხარვეზი გამოყენებულად მონიშნა, მაგრამ არ განაცხადა, როდის დაიწყო შეტევები, ვინ იყენებს მას ან რას აკეთებენ თავდამსხმელები ექსპლუატაციის შემდეგ. ჩაილდსის თქმით, სხვა კიბერდამნაშავეებმა შეიძლება დაუცველი ვერსიები დაასკანირონ და პატჩი რევერს-ინჟინერინგით გააანალიზონ, რადგან გამოსწორება საჯაროა; ამიტომ ადმინისტრატორებმა ეს ხარვეზი პრიორიტეტად უნდა აიღონ და საფოსტო ყუთებში საეჭვო ფაილები გადაამოწმონ.

დაწკაპუნების გარეშე საფრთხეები

ორ კრიტიკულ ხარვეზს, CVE-2026-116928 და CVE-2026-119958, თითოეულს 9,8 CVSS რეიტინგი აქვს და მომხმარებლის ჩარევას არ საჭიროებს. CVE-2026-116928 არის საზღვრების მიღმა ჩაწერა Microsoft Windows Search Component-ში, რაც დისტანციური კოდის შესრულებამდე შეიძლება მიგვიყვანოს. ავთენტიფიკაციის გარეშე მოქმედ თავდამსხმელს შეეძლო Exchange-ის ძებნის ფუნქციის ბოროტად გამოყენება სპეციალური დანართის მქონე ელფოსტით; Exchange დანართს ინდექსირებისთვის ავტომატურად ამუშავებს, ამიტომ მიმღებს მისი გახსნა არ სჭირდება. წარმატებული ექსპლუატაცია თავდამსხმელს დაზარალებული სერვისის უფლებებით კოდის შესრულების საშუალებას მისცემდა. CVE-2026-119958 არის საზღვრების მიღმა ჩაწერა Windows-ის LDAP იმპლემენტაციაში, რაც ავთენტიფიკაციის გარეშე მოქმედ თავდამსხმელებს მომხმარებლის ჩარევის გარეშე დისტანციურად კოდის შესრულების საშუალებას აძლევდა დაუცველ სისტემებზე სპეციალური LDAP მოთხოვნებით და შესაძლოა დომენის კონტროლერები დაეზიანებინა. ჩაილდსმა ასევე დაითვალა 30 CVE, რომლებსაც ჭიის მსგავსად გავრცელების რისკი აქვთ და ქსელში გავრცელებისთვის არც ავთენტიფიკაცია და არც მომხმარებლის ჩარევა არ სჭირდებათ.

ზედიზედ CVE-ების მოცულობა

ოქტომბერში 1 474 CVE იყო, ნოემბერი ზედიზედ მეორე თვეა 1 000-ზე მეტი CVE-ით. აქტიურად მხოლოდ CVE-2026-124194 გამოიყენება, 1 094-დან არც ერთი საჯაროდ ცნობილი არ არის. ჩაილდსის თქმით, ეს ცრუ სიმშვიდეს არ უნდა იძლეოდეს. ზედიზედ თვეებში 1 000-ზე მეტი CVE ნიშნავს, რომ ავტომატიზებულმა ხარვეზების ძიებამ პატჩების მოცულობა სამუდამოდ შეცვალა, AI კი პატჩების დიფინგსა და ექსპლუატების გენერაციას თითქმის მყისიერს ხდის, ამიტომ საფრთხის ფანჯარა განახლებების გამოქვეყნებისთანავე იხსნება. დამცველებმა ფართო ტრიაჟი უნდა მიატოვონ და დაუყოვნებლივ იმოქმედონ: პირველ რიგში გამოასწორონ Exchange და დომენის კონტროლერები, შემოაზღვრონ ღია ქსელური სერვისები, როგორიცაა DNS და DHCP, და გადაამოწმონ ღრუბლოვან სერვისებზე ხელით გაკეთებული ადმინისტრაციული გამოსწორებები.

Xbox-ის სერვისის ხარვეზი

Windows Xbox Live Networking Service-ის კრიტიკული ხარვეზი, CVE-2026-112967, შეიძლება დისტანციური კოდის შესრულების საშუალებას იძლეოდეს. ეს არის heap overflow-ის ტიპის დაუცველობა 9,8 CVSS რეიტინგით, რომელიც არ საჭიროებს ავთენტიფიკაციას ან მომხმარებლის ჩარევას. ადმინისტრატორებმა პატჩების გეგმაში უნდა შეიტანონ ამ სერვისის მქონე დაუცველი Windows სისტემები.

წყაროები: The Register