Microsoft устранила более тысячи уязвимостей в очередном вторничном пакете обновлений

В ноябрьской серии обновлений Patch Tuesday компания Microsoft устранила в своих продуктах 1094 уязвимости. Среди них была одна уязвимость нулевого дня, то есть могла эксплуатироваться хакерами до выпуска официального обновления.

Уязвимость нулевого дня в Outlook зарегистрирована под номером CVE-2026-124194 — её степень угрозы оценивается в 6,5 из 10, но недооценивать проблему нельзя, предупреждают эксперты. Для осуществления атаки злоумышленник отправляет жертве специально подготовленный файл и убеждает пользователя открыть его. После этого Outlook подключается к подконтрольному хакеру сетевому ресурсу, не выводя стандартного предупреждения о загрузке внешнего контента. В результате происходит утечка NTLMv2-хеша пользователя — злоумышленник может использовать эти данные для аутентификации в системе от имени этого пользователя.

Microsoft подтвердила, что уязвимость CVE-2026-124194 уже эксплуатируется, но, как это часто бывает, не уточнила, когда начались атаки, кто именно эксплуатирует уязвимость, и какие действия предпринимаются после получения доступа. Теперь, когда вышло исправление, другие злоумышленники могут начать сканировать сети в поисках уязвимых версий программы и изучать патч в поисках собственных методов атаки. Поэтому рекомендуется установить обновление незамедлительно и следить за появлением подозрительных файлов на почте.

В текущем пакете также устранены две уязвимости типа zero-click, то есть не требующие участия пользователя для развёртывания атаки — они зарегистрированы под номерами CVE-2026-116928, CVE-2026-119958, и обеим присвоен критический уровень опасности 9,8 из 10.

Уязвимость CVE-2026-116928 связана с записью данных за пределами выделенного буфера в компоненте Microsoft Windows Search, что грозит удаленным выполнением кода. Неавторизованный злоумышленник может воспользоваться этой функцией поиска в Exchange, отправив электронное письмо со специально подготовленным вложением. Exchange автоматически обрабатывает вложение для индексации, поэтому жертве не требуется открывать ни письмо, ни файл; успешная эксплуатация уязвимости позволяет злоумышленнику выполнять код с правами службы, отвечающей за обработку данных.

Уязвимость CVE-2026-119958 также относится к классу записи за пределами буфера — в реализации протокола LDAP. Она позволяет злоумышленникам выполнять код удалённо, не требуя какого-либо участия со стороны пользователя. Для её эксплуатации требуется отправить на уязвимую систему специально сформированный LDAP-запрос, который может привести к компрометации контроллеров домена. Отмечаются также 30 «червеподобных» уязвимостей, при эксплуатации которых не требуется ни участие пользователя, ни его действия в сети.

Наконец, в список попала критическая уязвимость за номером CVE-2026-112967 в службе Windows Xbox Live Networking Service — она также допускает удалённое выполнение кода. Уязвимость имеет оценку в 9,8 из 10; для её эксплуатации не нужны ни аутентификация, ни действия со стороны пользователя.