2873
У листопадовому пакеті оновлень Patch Tuesday компанія Microsoft усунула 1094 вразливості у своїх продуктах. Серед них є вразливість нульового дня, тобто така, яку хакери могли використовувати до випуску офіційного виправлення.
Небезпечна вразливість в Outlook
Вразливість нульового дня в Outlook зареєстрована під номером CVE-2026-124194. Її ступінь загрози оцінюється в 6,5 з 10, але експерти застерігають, що недооцінювати цю проблему не можна.
Для атаки зловмисник надсилає жертві спеціально підготовлений файл і переконує її відкрити його. Після цього Outlook підключається до мережевого ресурсу, контрольованого хакером, і не виводить стандартного попередження про завантаження зовнішнього вмісту. Внаслідок цього витікає NTLMv2-хеш користувача, який зловмисник може використати для автентифікації в системі від імені цього користувача.
Microsoft підтвердила, що CVE-2026-124194 уже експлуатується. Водночас компанія не уточнила, коли почалися атаки, хто саме їх проводить і які дії виконуються після отримання доступу. Тепер, коли виправлення вийшло, інші зловмисники можуть почати сканувати мережі у пошуках уразливих версій програми та вивчати патч, щоб знайти власні методи атаки. Тому рекомендується встановити оновлення негайно та стежити за появою підозрілих файлів у пошті.
Критичні вразливості типу zero-click
У поточному пакеті також усунено дві вразливості типу zero-click, які не потребують участі користувача для розгортання атаки. Вони зареєстровані під номерами CVE-2026-116928 і CVE-2026-119958, а обом присвоєно критичний рівень небезпеки 9,8 з 10.
Вразливість CVE-2026-116928 пов’язана із записом даних за межі виділеного буфера в компоненті Microsoft Windows Search, що загрожує віддаленим виконанням коду. Неавторизований зловмисник може скористатися цією функцією пошуку в Exchange, надіславши електронний лист зі спеціально підготовленим вкладенням. Exchange автоматично обробляє вкладення для індексації, тому жертві не потрібно відкривати ні лист, ні файл. Успішна експлуатація дозволяє зловмиснику виконувати код із правами служби, яка відповідає за обробку даних.
Вразливість CVE-2026-119958 також належить до класу запису за межі буфера, але в реалізації протоколу LDAP. Вона дозволяє віддалено виконувати код без жодної участі з боку користувача. Для її експлуатації потрібно надіслати на вразливу систему спеціально сформований LDAP-запит, що може призвести до компрометації контролерів домену. Крім того, відзначаються 30 «червеподібних» вразливостей, для експлуатації яких не потрібні ні участь користувача, ні його дії в мережі.
Нарешті, до списку потрапила критична вразливість CVE-2026-112967 у службі Windows Xbox Live Networking Service. Вона також допускає віддалене виконання коду та має оцінку 9,8 з 10. Для її експлуатації не потрібні ні автентифікація, ні дії з боку користувача.
Джерело: toneto.net
