Microsoft усунула понад тисячу вразливостей у черговому пакеті оновлень

У листопадовій серії оновлень Patch Tuesday компанія Microsoft усунула в своїх продуктах 1094 вразливості. Серед них була одна вразливість нульового дня, тобто така, що могла експлуатуватися хакерами до випуску офіційного оновлення.

Джерело зображення: Philip Oroni / unsplash.com

Вразливість нульового дня в Outlook зареєстрована під номером CVE-2026-124194 — її ступінь загрози оцінюється в 6,5 з 10, але недооцінювати проблему не можна, попереджають експерти. Для здійснення атаки зловмисник надсилає жертві спеціально підготовлений файл і переконує користувача відкрити його. Після цього Outlook підключається до контрольованого хакером мережевого ресурсу, не виводячи стандартного попередження про завантаження зовнішнього контенту. В результаті відбувається витік NTLMv2-хеша користувача — зловмисник може використовувати ці дані для аутентифікації в системі від імені цього користувача.

Microsoft підтвердила, що вразливість CVE-2026-124194 вже експлуатується, але, як це часто буває, не уточнила, коли почалися атаки, хто саме експлуатує вразливість і які дії здійснюються після отримання доступу. Тепер, коли вийшло виправлення, інші зловмисники можуть почати сканувати мережі в пошуках вразливих версій програми та вивчати патч у пошуках власних методів атаки. Тому рекомендується встановити оновлення негайно та стежити за появою підозрілих файлів на пошті.

У поточному пакеті також усунено дві вразливості типу zero-click, тобто такі, що не вимагають участі користувача для розгортання атаки — вони зареєстровані під номерами CVE-2026-116928, CVE-2026-119958, і обом присвоєно критичний рівень небезпеки 9,8 з 10.

Джерело зображення: BoliviaInteligente / unsplash.com

Вразливість CVE-2026-116928 пов'язана із записом даних за межами виділеного буфера в компоненті Microsoft Windows Search, що загрожує віддаленим виконанням коду. Неавторизований зловмисник може скористатися цією функцією пошуку в Exchange, надіславши електронний лист зі спеціально підготовленим вкладенням. Exchange автоматично обробляє вкладення для індексації, тому жертві не потрібно відкривати ні лист, ні файл; успішна експлуатація вразливості дозволяє зловмиснику виконувати код з правами служби, що відповідає за обробку даних.

Вразливість CVE-2026-119958 також належить до класу запису за межами буфера — в реалізації протоколу LDAP. Вона дозволяє зловмисникам виконувати код віддалено, не вимагаючи жодної участі з боку користувача. Для її експлуатації потрібно надіслати на вразливу систему спеціально сформований LDAP-запит, що може призвести до компрометації контролерів домену. Також відзначаються 30 «червеподібних» вразливостей, при експлуатації яких не потрібно ні участі користувача, ні його дій у мережі.

Нарешті, до списку потрапила критична вразливість під номером CVE-2026-112967 у службі Windows Xbox Live Networking Service — вона також допускає віддалене виконання коду. Вразливість має оцінку 9,8 з 10; для її експлуатації не потрібні ні аутентифікація, ні дії з боку користувача.

Хочеш дізнатися більше — читай відгуки