Листопадовий Patch Tuesday від Microsoft став другим поспіль оновленням з обсягом понад тисячу виправлень. Головна загроза — вразливість CVE-2026-124194 у Microsoft Outlook, яка, за даними Microsoft, уже експлуатується зловмисниками. Експлуатація дає змогу перехопити автентифікаційний геш NTLMv2 жертви, що відкриває шлях до імперсонації користувача. CISA внесла вразливість до каталогу Known Exploited Vulnerabilities з дедлайном усунення 24 листопада 2026 року. Усі організації, які використовують Outlook, мають встановити патч у пріоритетному порядку.
Масштаб оновлення: розбіжності в підрахунках
Згідно зі сторінкою релізу Microsoft, оновлення охоплює 1 259 вразливостей. Однак, за підрахунками Tenable, у релізі адресовано 1 093 CVE, з яких 63 отримали критичний рівень серйозності, 1 029 — важливий, і одна — помірний. Розбіжність, ймовірно, пояснюється відмінністю в методології підрахунку: Microsoft включає до загальної кількості й сторонні ідентифікатори CVE (в початковому матеріалі згадуються 165 таких записів), тоді як Tenable може враховувати лише вразливості, безпосередньо виправлені Microsoft. Ці цифри не слід вважати взаємозамінними.
Ми вже розбирали жовтневий Patch Tuesday, який також перевищив позначку в тисячу виправлень. Листопадовий випуск підтверджує, що такий масштаб стає новою нормою для Microsoft.
CVE-2026-124194: вразливість типу spoofing в Outlook
Центральна вразливість оновлення — CVE-2026-124194, класифікована як spoofing у Microsoft Outlook. За даними Microsoft і Tenable, вона отримала оцінку CVSS 6.5 і помірний рівень серйозності.
Механізм атаки виглядає так: зловмисник надсилає жертві спеціально сформований файл повідомлення або документ Office. Якщо користувач відкриває цей файл у вразливій версії Outlook, клієнт ініціює підключення до контрольованого зловмисником мережевого ресурсу без відображення стандартного попередження про зовнішній вміст. У результаті відбувається витік автентифікаційних даних — геша NTLMv2, який може бути використаний для імперсонації користувача в подальших атаках.
Важливі обмеження експлуатації, підтверджені Microsoft:
- Потрібне мережеве підключення жертви
- Потрібна взаємодія користувача — відкриття шкідливого файла
- Автоматична експлуатація без дій користувача не підтверджена
Попри помірну оцінку CVSS, вразливість заслуговує на пріоритетну увагу. Це єдина CVE в цьому оновленні, внесена до каталогу CISA KEV, що підтверджує факт активної експлуатації. Microsoft не розкрила, який саме зловмисник або угруповання використовує вразливість, і не надала технічних деталей експлуатації. Також невідомо, чи почалася експлуатація до або після виявлення вразливості дослідниками.
Інші значимі вразливості
Окрім Outlook, оновлення закриває низку критичних вразливостей віддаленого виконання коду:
- CVE-2026-116928 — запис за межі буфера в компоненті Windows Search, що дає змогу виконати код по мережі
- CVE-2026-119958 — запис за межі буфера в Windows LDAP, також із можливістю мережевого виконання коду
- CVE-2026-119952 — віддалене виконання коду в Windows Schannel
- CVE-2026-95962 — віддалене виконання коду в Windows Virtual Filtering Platform
- CVE-2026-112967 — переповнення буфера купи в Windows Xbox Live Networking Service із можливістю мережевого виконання коду
- CVE-2026-119990 — підвищення привілеїв в Azure OpenAI
Доступний вихідний матеріал не містить інформації про уражені версії для перелічених CVE, тому рекомендується звернутися до порталу MSRC за повними даними щодо конфігурацій.
Оцінка впливу
CVE-2026-124194 становить найбільший практичний ризик для організацій, де Outlook є стандартним поштовим клієнтом — а це переважна більшість корпоративних середовищ. Перехоплений геш NTLMv2 може бути використаний для автентифікації від імені жертви, доступу до її даних і потенційного переміщення внутрішньою мережею. Втім, успішність таких наступних атак залежить від конкретної конфігурації середовища і не гарантована в кожному випадку.
Вразливості в LDAP і Windows Search особливо небезпечні для серверних інфраструктур, де ці компоненти обробляють мережеві запити. Вразливість в Azure OpenAI зачіпає організації, які використовують хмарні сервіси ШІ від Microsoft.
Рекомендації
- Негайно встановіть патч для CVE-2026-124194 — це єдина вразливість із підтвердженою експлуатацією та дедлайном CISA KEV до 24 листопада 2026 року
- Перевірте, які з перелічених компонентів (Windows Search, LDAP, Schannel, Xbox Live Networking Service, Azure OpenAI) використовуються у вашій інфраструктурі, і пріоритизуйте патчі для них
- Розгляньте обмеження вихідних SMB-підключень і NTLM-автентифікації до зовнішніх ресурсів як додатковий захід захисту від витоку гешів
- Навчіть користувачів не відкривати вкладення з неперевірених джерел — експлуатація CVE-2026-124194 вимагає, щоб жертва самостійно відкрила шкідливий файл
Пріоритет патчингу в цьому оновленні однозначний: CVE-2026-124194 в Outlook — перша в черзі як єдина вразливість із підтвердженою експлуатацією та регуляторним дедлайном. Далі — критичні вразливості віддаленого виконання коду в мережевих компонентах Windows (LDAP, Search, Schannel), особливо на серверах, доступних із мережі. Повний перелік уражених версій і конфігурацій доступний на порталі MSRC.
