Активно используемая уязвимость нулевого дня, позволяющая злоумышленникам красть хэшированные учетные данные NTLM из Outlook, является одной из 1094 уязвимостей, устраненных Microsoft в ноябрьских выпусках Patch Tuesday.
Несмотря на умеренную степень серьезности (оценка CVSS 6,5), администраторам Windows необходимо немедленно устранить CVE-2026-124194, поскольку злоумышленники уже используют ее. «Не позволяйте низкой оценке вас обмануть», — заявил Ник Кэрролл, менеджер по реагированию на киберинциденты в Nightwing.
Затронутые продукты включают Microsoft 365 Apps for Enterprise, а также Office LTSC 2021 и 2024. Однако, поскольку для запуска атаки пользователю необходимо открыть вредоносный файл Office, хорошее обучение сотрудников основам кибербезопасности и эффективный почтовый шлюз могут смягчить эту атаку до установки исправления.
Открытие вредоносного файла может привести к тому, что Outlook подключится к контролируемому злоумышленником сетевому расположению без отображения обычного предупреждения о внешнем содержимом, потенциально раскрывая информацию для аутентификации, которую можно использовать для выдачи себя за пользователя. Уязвимость раскрывает хэш пароля NTLMv2 пользователя злоумышленнику, который может использовать его для входа в другие системы от имени пользователя или для взлома пароля.
Microsoft, которая с лета использует свою модель ИИ для поиска тысяч уязвимостей в своих продуктах, приписала обнаружение уязвимости Outlook исследователю из Anthropic, использовавшему ИИ-помощник Claude. Это побудило Сатьяма Наранга, старшего исследователя Tenable, прокомментировать: «Большую часть года ИИ создавал все более крупные стога сена в выпусках Patch Tuesday, и это, похоже, первый раз, когда он нашел иголку».
Отдельно SAP устранила критическую уязвимость повреждения памяти под названием ICM2Shell с рейтингом CVSS 10. Обнаруженная исследователями из Onapsis, уязвимость влияет на обработку WebSocket-трафика ядром SAP. Onapsis сообщила, что специально сформированная последовательность сообщений WebSocket может привести к сбою процесса или позволить злоумышленнику удаленно выполнять код. Затронуты SAP Internet Communications Manager (ICM), который находится внутри ядра, и SAP Web Dispatcher, обратный прокси-сервер, который многие организации размещают на периметре своей сети.
Исправления от Microsoft
Из 1094 уязвимостей Microsoft 63 были оценены как критические.
Четыре уязвимости имеют оценку серьезности CVSS 9,8, отметил Джек Бикер, директор по исследованиям уязвимостей в Action1, и три из них не требуют учетных данных или действий пользователя для эксплуатации. Уязвимость удаленного выполнения кода в Windows LDAP (CVE-2026-119958) позволяет неаутентифицированному злоумышленнику выполнять код внутри службы Windows LDAP, что ставит под угрозу контроллеры домена и всю среду Active Directory.
Уязвимость удаленного выполнения кода в Microsoft Exchange Server (CVE-2026-118207) может быть вызвана любым, кто может отправлять электронные письма в организацию, сказал Бикер, а уязвимость удаленного выполнения кода в службе сетевого взаимодействия Windows Xbox Live (CVE-2026-112967) дает злоумышленнику в той же сети полный контроль над системой Windows.
Четвертая уязвимость, Azure OpenAI Elevation of Privilege Vulnerability (CVE-2026-119990), находится в облачном сервисе, от которого сейчас зависит множество команд. Однако этот сервис автоматически обновляется Microsoft.
Бикер посоветовал директорам по информационной безопасности (CSO) порядок установки исправлений должен определяться охватом, а не названиями продуктов. Сначала следует исправлять контроллеры домена и серверы Exchange, сказал он, затем все, что предоставляет доступ к IIS, Microsoft Secure Channel (Schannel) или RPC из недоверенных сетей.
Перед установкой исправлений для Message Queuing следует провести инвентаризацию: найти все серверы, где включена служба, отключить ее там, где она не нужна приложениям, и в тот же день установить исправления на остальные, сказал он, добавив, что хосты гипервизоров нуждаются в собственном окне обслуживания, поскольку один сбежавший гостевой экземпляр становится проблемой для каждого арендатора на этом хосте.
«Защитники должны знать и делать прямо сейчас: отказаться от широкой сортировки и принять немедленные оборонительные меры», — сказал Дастин Чайлдс, руководитель отдела осведомленности об угрозах в Zero Day Initiative компании TrendAI. Это означает, что сначала нужно исправить Exchange и контроллеры домена (то есть LDAP/Kerberos), чтобы остановить компрометацию без клика, изолировать открытые сетевые службы, такие как DNS и DHCP, для предотвращения распространения червей, и проверить ручные административные исправления в облачных сервисах, используемых вашей организацией.
Тайлер Регули, ассоциированный директор по исследованиям и разработкам в области безопасности в Fortra, отметил, что в этом месяце уязвимостей Microsoft меньше, чем в октябре, но добавил: «Я не настолько глуп, чтобы думать, что это единичное снижение указывает на тенденцию к снижению, которую я предсказывал в ближайшие месяцы. Вместо этого я думаю, что мы наблюдаем продолжение повышенного числа уязвимостей, поскольку Microsoft продолжает исправлять давно скрытые проблемы, которые выявляются с помощью ИИ. Однако вскоре это число начнет снижаться, поскольку последние из этих давно скрытых проблем будут устранены, и нам останется только иметь дело с новыми ошибками».
Директора по информационной безопасности могут помочь своим командам, игнорируя любой шум от поставщиков и любые переоцененные уязвимости, сказал Регули. Когда количество уязвимостей начало расти, именно руководители высшего звена быстрее всех отреагировали и увеличили нагрузку на своих администраторов. «Сейчас время успокоиться и поддержать свои команды, а не увеличивать их нагрузку. Директора по информационной безопасности должны помнить, что компании, занимающиеся ИИ, и поставщики услуг безопасности могут необоснованно раздувать важность незначительных уязвимостей, поскольку это дешевый и эффективный маркетинг их услуг», — отметил он. «Уязвимость не является критической, если у вас не развернуто затронутое программное обеспечение».
Профилактика — ключ к успеху, поэтому директора по информационной безопасности должны сосредоточить свои усилия на укреплении систем и смягчении последствий. Это, по его словам, будет более эффективно, чем погоня за уязвимостями. Наконец, Регули напомнил директорам по информационной безопасности, что приоритизация имеет значение. «Если вы разработали стратегию приоритизации, которая работает для вас, не меняйте свой процесс только потому, что СМИ ищут клики», — сказал он.
Исправления от SAP
Критические уязвимости, коллективно известные как ICM2Shell, — это CVE-2026-76964 и CVE-2026-89126. Исследователи из Onapsis, обнаружившие их, заявили, что эксплуатация не является теоретической; они предоставили SAP рабочий эксплойт, который обеспечивает полное удаленное выполнение кода без аутентификации, выполняя произвольные команды от имени пользователя <sid>adm в целевой системе. Состояние отказа в обслуживании воспроизводилось на каждом протестированном выпуске SAP Kernel.
Для доступа к уязвимости злоумышленнику нужен только сетевой доступ к порту HTTP/HTTPS, сообщает Onapsis. Поскольку поддержка WebSocket включена по умолчанию как в ICM, так и в SAP Web Dispatcher, система подвергается риску, даже если ни одно приложение не использует WebSocket. Некоторые службы, включая стандартные службы ICF в SAP S/4HANA, принимают WebSocket-соединения без аутентификации, а в других уязвимость может быть достигнута до аутентификации. «Ничто в цепочке не требует пользователя SAP, пароля или сертификата», — заявили исследователи.
Учетная запись <sid>adm владеет установкой SAP, включая ее исполняемые файлы, профили экземпляров, хранилище секретов и подключение к базе данных. Выполнение команд от имени этого пользователя предоставляет полный контроль над системой SAP. Злоумышленник может, среди прочего, восстановить учетные данные базы данных и другие секреты из хранилища секретов и профилей и использовать их для чтения или изменения любых бизнес-данных непосредственно в базе данных; собирать RFC-направления и технические учетные данные, которые позволяют им перейти к подключенным к этому системам SAP и не-SAP; изменять конфигурацию или двоичные файлы для сохранения постоянного доступа; и уничтожать данные.
Другие исправления
Крис Геттл, вице-президент по управлению продуктами в Ivanti, обратил внимание на исправления от Adobe, Mozilla и Google.
Adobe выпустила девять бюллетеней безопасности, устраняющих 110 CVE, 22 из которых являются критическими. Adobe заявила, что ей не известно о каких-либо эксплойтах в дикой природе. Два обновления уровня приоритета 2 несут наибольший риск; Connect (APSB26-191) имеет наибольшее количество CVE — 24, из них 18 критических и шесть с оценкой CVSS 10.0. Уязвимости включают SSRF, обход каталога и SQL-инъекции и затрагивают локальные версии Windows 12.12 и ниже. Обновление Experience Manager (APSB26-189) исправляет 14 CVE, включая четыре критические уязвимости выполнения кода с оценкой CVSS 9,9.
Google Chrome 157.0.8103.50, выпущенный в понедельник, устранил девять CVE, включая CVE-2026-125350, который активно используется в дикой природе. Это восьмой эксплойт нулевого дня для Chrome в 2026 году, отметил Геттл. Браузеры на основе Chromium, такие как Microsoft Edge, также потребуют исправления, и пользователям следует перезапустить браузер после обновления, чтобы исправление вступило в силу. Этот исправленный выпуск последовал за выпуском Chrome 157 от 3 ноября, который исправил 213 уязвимостей, семь из которых были критическими. Отдельно ноябрьский бюллетень Android от Google исправил 216 уязвимостей, 23 из которых были критическими, при этом ни одна не была отмечена как эксплуатируемая. Целевой уровень исправлений — 2026-11-05 или новее.
Выпуск Mozilla от 10 ноября включает Firefox 160, который устраняет 99 CVE (57 из них имеют высокий рейтинг). Firefox ESR 153.7 устраняет 81 уязвимость (51 с высоким рейтингом), а ESR 115.45 — 28, все с высоким рейтингом. Многие из уязвимостей с высоким рейтингом — это ошибки использования после освобождения памяти и ошибки границ памяти в графических компонентах, DOM, макете и JavaScript, включая ряд побегов из песочницы, таких как CVE-2026-124907, ошибка использования после освобождения памяти в CanvasWebGL, которая позволяет повысить привилегии и выйти из песочницы. Та же уязвимость устранена в Thunderbird 160 и Thunderbird 153.7.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Howard Solomon
