Microsoft Patch Tuesday виправляє 1 094 вад, зокрема експлуатовану вразливість Outlook

Листопадовий випуск Patch Tuesday від Microsoft виправляє 1 094 вад у всіх продуктах, зокрема вразливість підміни Outlook, яку вже експлуатують. Оновлення також містить дві критичні вразливості без кліків і критичну вразливість сервісу Xbox Live Networking Service.

Експлуатована вразливість Outlook

Вразливість Outlook, CVE-2026-124194, має рейтинг CVSS 6.5. Dustin Childs попередив, що мітка «підміна» применшує її вплив. Зловмисник надсилає спеціально створений файл повідомлення і переконує користувача відкрити його; Outlook підключається до мережевого розташування під контролем зловмисника без звичного попередження про зовнішній вміст і розкриває NTLMv2-хеш користувача. Зловмисник може використати цей хеш для автентифікації від імені користувача. Microsoft позначила вразливість як експлуатовану, але не повідомила, коли почалися атаки, хто її використовує і що роблять зловмисники після експлуатації. Childs сказав, що інші зловмисники можуть сканувати вразливі версії та зворотно аналізувати патч, щойно виправлення стало публічним, тому адміністраторам слід надати йому пріоритет і стежити за підозрілими файлами у вхідних.

Вразливості без кліків

Дві критичні вразливості, CVE-2026-116928 і CVE-2026-119958, мають рейтинг CVSS 9.8 і не потребують взаємодії користувача. CVE-2026-116928: це запис поза межами буфера в компоненті пошуку Microsoft Windows, що може призвести до віддаленого виконання коду. Неавтентифікований зловмисник може зловживати функцією пошуку в Exchange, надіславши листа зі спеціально створеним вкладенням; Exchange автоматично обробляє вкладення для індексування, тому одержувачу не потрібно відкривати ні лист, ні вкладення. Успішна експлуатація може дати зловмиснику код із правами відповідної служби обробки. CVE-2026-119958: це запис поза межами буфера в реалізації LDAP у Windows, що може дозволити неавтентифікованим зловмисникам віддалено виконати код без взаємодії користувача, надсилаючи спеціально створені запити LDAP до вразливих систем і потенційно компрометуючи контролери домену. Childs також нарахував 30 CVE з ризиком поширення черв'яком, що не потребують автентифікації та взаємодії користувача через мережу.

Послідовний обсяг CVE

У жовтні було 1 474 CVE, це другий поспіль місяць із понад 1 000. CVE-2026-124194 є єдиною під активною експлуатацією, і жодна з 1 094 не зазначена як публічно відома. Childs сказав, що це не повинно створювати хибного спокою. Він сказав, що два поспіль місяці з понад 1 000 CVE доводять: автоматизований пошук вад назавжди змінив обсяг патчів, а ШІ робить порівняння патчів і створення експлойтів майже миттєвими, тому вікно загрози відкривається, коли виходять оновлення. Захисникам слід відмовитися від широкого тріажу і діяти негайно: спочатку виправити Exchange і контролери домену, ізолювати відкриті служби DNS і DHCP та перевірити ручні адміністративні виправлення в хмарних сервісах.

Вразливість сервісу Xbox

Критична вразливість у сервісі Windows Xbox Live Networking Service, CVE-2026-112967, може дозволити віддалене виконання коду. Це вразливість переповнення купи з рейтингом CVSS 9.8, без автентифікації та взаємодії користувача. Адміністраторам слід включити вразливі системи Windows із сервісом у плани виправлення.

Джерела: The Register