Ноябрьский Patch Tuesday от Microsoft стал вторым подряд обновлением с объёмом свыше тысячи исправлений. Главная угроза — уязвимость CVE-2026-124194 в Microsoft Outlook, которая, по данным Microsoft, уже эксплуатируется злоумышленниками. Эксплуатация позволяет перехватить аутентификационный хеш NTLMv2 жертвы, что открывает путь к имперсонации пользователя. CISA внесла уязвимость в каталог Known Exploited Vulnerabilities с дедлайном устранения 24 ноября 2026 года. Всем организациям, использующим Outlook, следует установить патч в приоритетном порядке.
Масштаб обновления: расхождение в подсчётах
Согласно странице релиза Microsoft, обновление охватывает 1 259 уязвимостей. Однако по подсчётам Tenable, в релизе адресовано 1 093 CVE, из которых 63 получили критический уровень серьёзности, 1 029 — важный, и одна — умеренный. Расхождение, вероятно, объясняется разницей в методологии подсчёта: Microsoft включает в общее число и сторонние идентификаторы CVE (в исходном материале упоминаются 165 таких записей), тогда как Tenable может учитывать только уязвимости, непосредственно исправленные Microsoft. Эти цифры не следует считать взаимозаменяемыми.
Мы уже разбирали октябрьский Patch Tuesday, который также превысил отметку в тысячу исправлений. Ноябрьский выпуск подтверждает, что такой масштаб становится новой нормой для Microsoft.
CVE-2026-124194: уязвимость спуфинга в Outlook
Центральная уязвимость обновления — CVE-2026-124194, классифицированная как спуфинг в Microsoft Outlook. По данным Microsoft и Tenable, она получила оценку CVSS 6.5 и умеренный уровень серьёзности.
Механизм атаки выглядит следующим образом: злоумышленник отправляет жертве специально сформированный файл сообщения или документ Office. Если пользователь открывает этот файл в уязвимой версии Outlook, клиент инициирует подключение к контролируемому атакующим сетевому ресурсу без отображения стандартного предупреждения о внешнем контенте. В результате происходит утечка аутентификационных данных — хеша NTLMv2, который может быть использован для имперсонации пользователя в последующих атаках.
Важные ограничения эксплуатации, подтверждённые Microsoft:
- Требуется сетевое подключение жертвы
- Требуется взаимодействие пользователя — открытие вредоносного файла
- Автоматическая эксплуатация без действий пользователя не подтверждена
Несмотря на умеренную оценку CVSS, уязвимость заслуживает приоритетного внимания. Это единственная CVE в данном обновлении, внесённая в каталог CISA KEV, что подтверждает факт активной эксплуатации. Microsoft не раскрыла, какой именно злоумышленник или группировка использует уязвимость, и не предоставила технических деталей эксплуатации. Также неизвестно, началась ли эксплуатация до или после обнаружения уязвимости исследователями.
Другие значимые уязвимости
Помимо Outlook, обновление закрывает ряд критических уязвимостей удалённого выполнения кода:
- CVE-2026-116928 — запись за пределами буфера в компоненте Windows Search, позволяющая выполнить код по сети
- CVE-2026-119958 — запись за пределами буфера в Windows LDAP, также с возможностью сетевого выполнения кода
- CVE-2026-119952 — удалённое выполнение кода в Windows Schannel
- CVE-2026-95962 — удалённое выполнение кода в Windows Virtual Filtering Platform
- CVE-2026-112967 — переполнение буфера кучи в Windows Xbox Live Networking Service с возможностью сетевого выполнения кода
- CVE-2026-119990 — повышение привилегий в Azure OpenAI
Доступный исходный материал не содержит информации о затронутых версиях для перечисленных CVE, поэтому рекомендуется обратиться к порталу MSRC за полными данными по конфигурациям.
Оценка воздействия
CVE-2026-124194 представляет наибольший практический риск для организаций, где Outlook является стандартным почтовым клиентом — а это подавляющее большинство корпоративных сред. Перехваченный хеш NTLMv2 может быть использован для аутентификации от имени жертвы, доступа к её данным и потенциального перемещения по внутренней сети. Однако успешность таких последующих атак зависит от конкретной конфигурации среды и не гарантирована в каждом случае.
Уязвимости в LDAP и Windows Search особенно опасны для серверных инфраструктур, где эти компоненты обрабатывают сетевые запросы. Уязвимость в Azure OpenAI затрагивает организации, использующие облачные сервисы ИИ от Microsoft.
Рекомендации
- Немедленно установите патч для CVE-2026-124194 — это единственная уязвимость с подтверждённой эксплуатацией и дедлайном CISA KEV до 24 ноября 2026 года
- Проверьте, какие из перечисленных компонентов (Windows Search, LDAP, Schannel, Xbox Live Networking Service, Azure OpenAI) используются в вашей инфраструктуре, и приоритизируйте патчи для них
- Рассмотрите ограничение исходящих SMB-подключений и NTLM-аутентификации к внешним ресурсам как дополнительную меру защиты от утечки хешей
- Обучите пользователей не открывать вложения из непроверенных источников — эксплуатация CVE-2026-124194 требует, чтобы жертва самостоятельно открыла вредоносный файл
Приоритет патчинга в этом обновлении однозначен: CVE-2026-124194 в Outlook — первая в очереди как единственная уязвимость с подтверждённой эксплуатацией и регуляторным дедлайном. Далее — критические уязвимости удалённого выполнения кода в сетевых компонентах Windows (LDAP, Search, Schannel), особенно на серверах, доступных из сети. Полный перечень затронутых версий и конфигураций доступен на портале MSRC.
