Ноемврийският пакет с обновления за сигурност на Microsoft за 2026 г. отстранява 1235 уязвимости в операционните системи Windows, пакета Office и облачните услуги. Сред тях е критичен нулев ден в Microsoft Outlook, който се експлоатира в реални кибератаки за кражба на корпоративни данни. За българските организации навременното инсталиране на поправките е задължително, за да се защитят потребителските акаунти и локалната мрежова среда.
Какво се случи: нулев ден в Outlook и рекорден обем поправки
Според данните на BleepingComputer ноемврийското издание на Patch Tuesday коригира 1235 уязвимости, докато според доклада на SecurityWeek общият брой на адресираните проблеми в софтуера на компанията е 1094. Разминаването се дължи на различния обхват при отчитане на външни библиотеки и съпътстващи пакети. От всички поправки 66 са определени като критични, като 48 от тях водят до дистанционно изпълнение на код (Remote Code Execution или RCE), а 15 са свързани с ескалация на привилегии (Elevation of Privilege или EoP). Допълнително са отстранени и 3 дефекта от тип Use-After-Free в браузъра Microsoft Edge.
Основният фокус на този пакет е уязвимостта от нулев ден CVE-2026-124194 в Microsoft Outlook. Тя е класифицирана като проблем с подправяне на идентичност (spoofing) с оценка 6.5 по скалата CVSS (Common Vulnerability Scoring System). Според предупреждението на Microsoft нападателят може да изпрати специално форматиран файл със съобщение и да подведе потребителя да го отвори в засегната версия на пощенския клиент. При отварянето Outlook осъществява автоматична връзка към външен мрежов ресурс под контрола на атакуващите, без да покаже обичайното предупреждение за зареждане на външно съдържание.
По време на тази връзка операционната система се опитва да се автентикира пред отдалечения сървър, при което се изпраща NTLMv2 хешът на потребителя (NTLM е стандартен протокол за автентикация в среди на Microsoft). Прихванатият хеш може да бъде подложен на разбиване и да предостави паролата на служителя, с което хакерите получават достъп до вътрешни системи. От Microsoft поясняват, че панелът за предварителен преглед (Preview Pane) не задейства експлоатацията, но директното отваряне на съобщението компрометира защитата. За откриването на дефекта са посочени изследователят с псевдоним nono и Беноа Севенс, като при анализа е използван AI моделът Claude на Anthropic.
Уязвимостта CVE-2026-124194 в Outlook вече се използва в реални кибератаки. Отварянето на зловреден файл води до скрито изтичане на NTLMv2 идентификационни данни към външни сървъри, заобикаляйки защитните предупреждения на клиента.
Кои продукти и версии засягат ноемврийските обновления
Уязвимостта в пощенския клиент компрометира изданията Microsoft 365 Apps for Enterprise, Office LTSC 2021 и Office LTSC 2024. Наред с нея пакетът включва критични корекции за широка гама от продукти на компанията:
- Клиентски операционни системи: Windows 10 чрез разширеното обновление KB5131096, както и Windows 11 чрез кумулативните пакети KB5132061 и KB5131087. Важно е да се отбележи, че за изданията Enterprise и Education на Windows 11 във версия 23H2 това са последните месечни актуализации за сигурност, с което тяхната поддръжка се прекратява.
- Сървърни системи: Windows Server от версия 2016 до версия 2025, Exchange Server Subscription Edition, SharePoint Server с 27 коригирани дефекта и SQL Server с 59 отстранени уязвимости.
- Облачни услуги и сигурност: платформите Azure OpenAI и Azure Managed Grafana, браузърът Microsoft Edge и модулът Malware Protection Engine.
По категории BleepingComputer отчита 639 проблема, свързани с компоненти на Windows, докато SecurityWeek посочва 726 уязвимости за операционната система и 174 за продуктите от семейството Office. Отделно са адресирани 20 пропуска в Azure и 9 в Exchange Server. С ноемврийския пакет броят на поправените от Microsoft дефекти от началото на годината надхвърля 5000, след като през октомври бяха отчетени 1411 корекции според единия източник и 1413 според втория.
Какво да направите сега: препоръчителни стъпки
Заради активната злоупотреба с пощенския клиент и наличието на десетки уязвимости за дистанционно изпълнение на код, системните администратори трябва да действат приоритетно.
Приложете съответните актуализации върху работните станции и сървърите, за да защитите системите от CVE-2026-124194 и критичните RCE пропуски.
Конфигурирайте защитната стена да спира изходящите SMB заявки към външни интернет ресурси, за да предотвратите изтичането на автентикационни хешове.
Идентифицирайте работните станции, които използват версия 23H2, и планирайте преминаването им към по-ново поддържано издание на операционната система.
Предупредете потребителите да бъдат внимателни с прикачени файлове и външни съобщения, изискващи отваряне или преглед на съдържание.
Обобщение
Големият обем поправки в редовните месечни издания показва все по-широкото използване на автоматизирани системи и AI за откриване на дефекти в програмния код. За бизнеса обаче това означава необходимост от редовно и дисциплинирано обновяване на инфраструктурата. Екипът на Defend.bg може да съдейства на вашата организация с прегледа на инсталираните актуализации, защитата на работните станции и оптимизирането на политиките за сигурност.
