Microsoft закрыла 1235 уязвимостей в ноябрьском пакете исправлений, включая 66 критических. Самая тревожная находка скрывалась в Outlook: злоумышленники уже использовали ошибку почтового клиента для перехвата данных входа в учётные записи, причём привычное предупреждение не появлялось.
Обновления вышли 10 ноября в рамках Patch Tuesday. Среди устранённых ошибок 536 позволяли повысить привилегии, 296 были связаны с удалённым выполнением кода, ещё 157 грозили раскрытием информации. На Windows и её компоненты пришлось около 639 уязвимостей. Ещё 108 ранее закрытых ошибок не вошли в подсчёт. Октябрьский выпуск был крупнее: тогда исправили 1411 проблем.
Из 66 критических ошибок 48 относятся к удалённому выполнению кода, 15 связаны с повышением привилегий, а три с обращением к уже освобождённой памяти в Edge. При этом разные исследователи считают исправления по-разному. Tenable насчитала 1093 CVE, из которых 63 критические. Разница связана с составом учитываемых продуктов и сторонних исправлений.
Эксплуатируемая уязвимость CVE-2026-124194 затрагивает Outlook в Microsoft 365 Apps for Enterprise и Office LTSC 2021/2024. Атакующий отправляет специально подготовленный файл сообщения и убеждает получателя открыть его. Outlook может незаметно обратиться к подконтрольному серверу и передать данные аутентификации NTLMv2, пригодные для дальнейших атак.
Windows может автоматически ответить на сетевой запрос авторизации. Перехваченные данные позволяют подобрать пароль вне сети или провести NTLM Relay, перенаправив аутентификацию на другой сервер. Для атаки нужны подключение к сети и действие пользователя. Просмотр письма в области предварительного просмотра не запускает такую атаку. Microsoft оценила брешь в 6,5 балла CVSS.
Несмотря на умеренную оценку, атаки происходили ещё до выхода патча. Агентство CISA 10 ноября внесло ошибку в каталог KEV и обязало федеральные ведомства США установить исправления до 24 ноября. Кто проводил атаки и сколько организаций пострадало, неизвестно. Среди обнаруживших брешь Microsoft назвала Бенуа Севенса, который использовал Claude от Anthropic.
В ноябрьском бюллетене Microsoft подтвердила эксплуатацию ошибки Outlook и призвала ускорить установку исправлений. Для Windows 11 выпущены пакеты KB5132061 и KB5131087, для поддерживаемых редакций Windows 10 с расширенной поддержкой предусмотрен KB5131096. Однако закрыть брешь в почтовом клиенте одним обновлением Windows нельзя: нужен актуальный пакет безопасности Office.
Схожую уязвимость Outlook, позволявшую похищать Net-NTLMv2, Microsoft устраняла ещё в 2023 году. Нынешний случай вновь показывает риск автоматической сетевой аутентификации при открытии подозрительных файлов. Администраторам стоит проверить обновление Office, ограничить исходящие NTLM-подключения и изучить обращения компьютеров к неизвестным сетевым ресурсам.
