Microsoft устранила более тысячи уязвимостей в очередном вторничном пакете обновлений
- В ноябрьском Patch Tuesday Microsoft закрыла 1094 уязвимости, включая уже эксплуатируемую уязвимость нулевого дня в Outlook, приводящую к утечке NTLMv2-хеша.
- Две zero-click-уязвимости с оценкой 9,8 позволяют удалённо выполнять код через Windows Search в Exchange и реализацию LDAP.
- В пакете также исправлены 30 «червеподобных» уязвимостей и критическая уязвимость Windows Xbox Live Networking Service с оценкой 9,8.
Почему это важно: После выхода исправления злоумышленники могут искать уязвимые версии и изучать патч, поэтому Microsoft рекомендует установить обновление незамедлительно.
В ноябрьской серии обновлений Patch Tuesday компания Microsoft устранила в своих продуктах 1094 уязвимости. Среди них была одна уязвимость нулевого дня, то есть могла эксплуатироваться хакерами до выпуска официального обновления.
Источник изображения: Philip Oroni / unsplash.com
Уязвимость нулевого дня в Outlook зарегистрирована под номером CVE-2026–124194 — её степень угрозы оценивается в 6,5 из 10, но недооценивать проблему нельзя, предупреждают эксперты. Для осуществления атаки злоумышленник отправляет жертве специально подготовленный файл и убеждает пользователя открыть его. После этого Outlook подключается к подконтрольному хакеру сетевому ресурсу, не выводя стандартного предупреждения о загрузке внешнего контента. В результате происходит утечка NTLMv2-хеша пользователя — злоумышленник может использовать эти данные для аутентификации в системе от имени этого пользователя.
Microsoft подтвердила, что уязвимость CVE-2026–124194 уже эксплуатируется, но, как это часто бывает, не уточнила, когда начались атаки, кто именно эксплуатирует уязвимость, и какие действия предпринимаются после получения доступа. Теперь, когда вышло исправление, другие злоумышленники могут начать сканировать сети в поисках уязвимых версий программы и изучать патч в поисках собственных методов атаки. Поэтому рекомендуется установить обновление незамедлительно и следить за появлением подозрительных файлов на почте.
В текущем пакете также устранены две уязвимости типа zero-click, то есть не требующие участия пользователя для развёртывания атаки — они зарегистрированы под номерами CVE-2026–116928, CVE-2026–119958, и обеим присвоен критический уровень опасности 9,8 из 10.
Источник изображения: BoliviaInteligente / unsplash.com
Уязвимость CVE-2026–116928 связана с записью данных за пределами выделенного буфера в компоненте Microsoft Windows Search, что грозит удаленным выполнением кода. Неавторизованный злоумышленник может воспользоваться этой функцией поиска в Exchange, отправив электронное письмо со специально подготовленным вложением. Exchange автоматически обрабатывает вложение для индексации, поэтому жертве не требуется открывать ни письмо, ни файл; успешная эксплуатация уязвимости позволяет злоумышленнику выполнять код с правами службы, отвечающей за обработку данных.
Уязвимость CVE-2026–119958 также относится к классу записи за пределами буфера — в реализации протокола LDAP. Она позволяет злоумышленникам выполнять код удалённо, не требуя какого-либо участия со стороны пользователя. Для её эксплуатации требуется отправить на уязвимую систему специально сформированный LDAP-запрос, который может привести к компрометации контроллеров домена. Отмечаются также 30 «червеподобных» уязвимостей, при эксплуатации которых не требуется ни участие пользователя, ни его действия в сети.
Наконец, в список попала критическая уязвимость за номером CVE-2026–112967 в службе Windows Xbox Live Networking Service — она также допускает удалённое выполнение кода. Уязвимость имеет оценку в 9,8 из 10; для её эксплуатации не нужны ни аутентификация, ни действия со стороны пользователя.
© 3DNews
