Очередной «Патч Вторник» от Microsoft принес исправление 1094 уязвимостей в продуктах компании, включая одну, которую злоумышленники использовали до выпуска патча. Джейк Нотт, руководитель отдела аналитики угроз в компании watchTowr, лаконично прокомментировал в электронном письме изданию The Register: «Может, нам просто пойти домой?»
«Большинство команд безопасности еще не оправились от прошлогоднего шквала критических уязвимостей, экстренных исправлений и всего, что связано с ‘2shell’, а нас снова ждет ‘Патч Вторник’», — рассказал Нотт.
Начнем с уязвимости нулевого дня: это уязвимость спуфинга в Outlook, отслеживаемая как CVE-2026-124194, с рейтингом CVSS всего 6,5 из 10. Но, как предупреждает Дастин Чайлдс, руководитель отдела осведомленности об угрозах в Zero Day Initiative компании TrendAI, не позволяйте этому рейтингу или названию ввести вас в заблуждение, полагая, что можно отложить исправление этой уязвимости.
«Она помечена как спуфинг, но последствия гораздо серьезнее, чем предполагает название», — сказал Чайлдс в своем ежемесячном обзоре обновлений безопасности.
«Злоумышленник отправляет специально сформированный файл сообщения и убеждает пользователя открыть его», — написал он. «Outlook затем подключается к контролируемому злоумышленником сетевому расположению без обычного предупреждения о внешнем контенте, раскрывая хэш NTLMv2 пользователя. Злоумышленник может использовать этот хэш для аутентификации от имени пользователя».
Microsoft отметила CVE-2026-124194 как эксплуатируемую, но, как обычно, не уточнила, когда начались атаки, кто их проводит и что они делают с полученным доступом после эксплуатации. Эти детали, вероятно, скоро станут известны.
Кроме того, теперь, когда существует общедоступное исправление, другие злоумышленники, несомненно, уже сканируют уязвимые версии и проводят обратную разработку патча для своих собственных атак. Поэтому отдайте приоритет этому исправлению и следите за входящими сообщениями на предмет подозрительных файлов.
Второй месяц подряд более 1000 CVE
Несмотря на второй месяц подряд с более чем 1000 CVE (в октябре было 1474), CVE-2026-124194 является единственной активно эксплуатируемой, и ни одна из 1094 не указана как общеизвестная. Чайлдс утверждает, что это не должно давать организациям «ложного чувства безопасности».
«Два месяца подряд с показателем выше 1000 CVE доказывают, что автоматизированный поиск уязвимостей навсегда изменил объем патчей», — сказал он The Register. «Поскольку ИИ делает сравнение патчей и генерацию эксплойтов почти мгновенными, окно угроз открывается в тот момент, когда выходят эти обновления».
Для защитников это означает две вещи, добавил Чайлдс.
«Что защитники должны знать и делать прямо сейчас: отказаться от широкой сортировки и принять немедленные защитные меры: сначала исправить Exchange и контроллеры домена (LDAP/Kerberos), чтобы остановить компрометацию без клика, изолировать раскрытые сетевые службы, такие как DNS и DHCP, для предотвращения распространения червей, и проверить ручные административные исправления в облачных службах», — сказал он.
Угрозы без клика
В этом месяце в исправлениях присутствуют две угрозы без клика: CVE-2026-116928 и CVE-2026-119958. Обе критические, с рейтингом CVSS 9,8, отчасти потому, что для их эксплуатации не требуется никакого взаимодействия с пользователем.
CVE-2026-116928 — это запись за пределами допустимой области в компоненте поиска Microsoft Windows, которая может привести к удаленному выполнению кода. Неаутентифицированный злоумышленник может злоупотребить этой функцией поиска в Exchange «отправив электронное письмо, содержащее специально сформированный вложенный файл», предупреждает Редмонд. «Exchange автоматически обрабатывает вложение для индексации, поэтому получателю не нужно открывать электронное письмо или вложение. Успешная эксплуатация может позволить злоумышленнику выполнить код с разрешениями затронутой службы обработки».
CVE-2026-119958 — это уязвимость записи за пределами допустимой области в реализации протокола LDAP (Lightweight Directory Access Protocol) в Windows, которая может позволить неаутентифицированным злоумышленникам удаленно выполнять код без взаимодействия с пользователем. Эту уязвимость можно использовать, отправляя специально сформированные LDAP-запросы к уязвимым системам, что потенциально может привести к компрометации контроллеров домена.
Чайлдс также насчитал 30 CVE, представляющих «червеобразный риск», не требующих аутентификации или взаимодействия с пользователем по сети. Все они перечислены в его блоге, поэтому отдайте приоритет их исправлению.
И… удаленное выполнение кода на Xbox
И наконец, для развлечения, критический недостаток в сетевой службе Xbox Live для Windows, CVE-2026-112967, который может привести к удаленному выполнению кода, также попал в сводку этого месяца. Это уязвимость переполнения кучи с рейтингом CVSS 9,8, которая не требует аутентификации или взаимодействия с пользователем для эксплуатации.
Так что не делайте перерыв в играх между тестированием ноябрьских обновлений. Или, если вы это сделаете, по крайней мере, убедитесь, что уязвимые системы Windows, на которых работает сетевая служба Xbox Live, также включены в ваш список исправлений. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
