В ноябрьской серии плановых обновлений Patch Tuesday компания Microsoft устранила в своих продуктах 1094 уязвимости, среди которых оказалась одна уже эксплуатируемая в реальных атаках проблема нулевого дня, две zero-click уязвимости с критическим уровнем опасности 9,8 из 10 и 30 так называемых «червеподобных» багов, не требующих какого-либо участия жертвы. По масштабу ноябрьский пакет уступает октябрьскому, в котором было закрыто 1413 проблем, однако по степени оперативной угрозы для корпоративных сетей он, по оценкам экспертов, не менее серьёзен: активная эксплуатация zero-day в Outlook и возможность удалённого выполнения кода без единого клика пользователя делают откладывание установки патчей крайне рискованным.

Zero-day в Outlook: утечка NTLMv2-хеша без стандартного предупреждения

Единственная уязвимость нулевого дня в ноябрьском пакете зарегистрирована под номером CVE-2026-124194 и затрагивает клиент Microsoft Outlook. Формальная оценка степени угрозы составляет 6,5 из 10, однако эксперты предупреждают, что недооценивать проблему нельзя. Механика атаки выглядит следующим образом: злоумышленник направляет жертве специально подготовленный файл и убеждает пользователя открыть его. После этого Outlook обращается к подконтрольному хакеру сетевому ресурсу, не выводя стандартного предупреждения о загрузке внешнего контента. В результате происходит утечка NTLMv2-хеша учётных данных пользователя, который атакующий может использовать для аутентификации в системе от имени жертвы. Microsoft подтвердила, что CVE-2026-124194 уже эксплуатируется, но, как это нередко случается, не раскрыла дату начала атак, идентификацию злоумышленников и характер действий, предпринимаемых после получения доступа. Специалисты напоминают, что после публикации патча другие атакующие могут начать массовое сканирование сетей в поисках уязвимых версий Outlook и анализировать код исправления для разработки собственных методов эксплуатации.

Две zero-click уязвимости с критическим рейтингом 9,8

В текущем пакете устранены две уязвимости типа zero-click, не требующие какого-либо участия пользователя для развёртывания атаки. Первая, CVE-2026-116928, связана с записью данных за пределами выделенного буфера в компоненте Microsoft Windows Search и грозит удалённым выполнением кода. Неавторизованный злоумышленник может воспользоваться этой функцией поиска в Microsoft Exchange, отправив электронное письмо со специально подготовленным вложением. Exchange автоматически обрабатывает вложение для индексации, поэтому жертве не требуется открывать ни письмо, ни файл. Успешная эксплуатация позволяет атакующему выполнять код с правами службы, отвечающей за обработку данных. Вторая, CVE-2026-119958, также относится к классу записи за пределами буфера, но в реализации протокола LDAP. Она позволяет выполнять код удалённо без какого-либо участия пользователя: достаточно отправить на уязвимую систему специально сформированный LDAP-запрос, что может привести к компрометации контроллеров домена. Обе уязвимости получили критическую оценку 9,8 из 10.

«Червеподобные» угрозы и критическая дыра в Xbox Live

Помимо zero-click проблем, в ноябрьском списке фигурируют 30 «червеподобных» уязвимостей, при эксплуатации которых не требуется ни участие пользователя, ни его действия в сети — теоретически это означает возможность автономного распространения вредоносного кода по инфраструктуре. Отдельного внимания заслуживает критическая уязвимость CVE-2026-112967 в службе Windows Xbox Live Networking Service: она также допускает удалённое выполнение кода, имеет оценку 9,8 из 10 и для её эксплуатации не нужны ни аутентификация, ни действия со стороны пользователя. Хотя Xbox Live Networking Service ассоциируется прежде всего с игровой экосистемой, наличие в ней критической RCE-уязвимости в составе серверной инфраструктуры Windows делает её релевантной для корпоративных сред, где данная служба может быть активна.

Контекст: ноябрь против рекордного октября

Для сравнения: в октябрьском Patch Tuesday 2026 года Microsoft исправила рекордные 1413 уязвимостей, включая три проблемы нулевого дня, одна из которых (CVE-2026-96951, 8,8 балла CVSS) уже использовалась в реальных атаках и была связана с обходом механизма Mark of the Web в Windows Shell. В октябре большинство исправлений — 1102 — затронуло непосредственно Windows, ещё 134 были закрыты в Office, 61 — в инструментах для разработчиков, 36 — в SharePoint Server и 22 — в SQL Server; около 70 уязвимостей получили статус критических. Ноябрьский пакет по общему числу (1094) несколько меньше, но концентрация активно эксплуатируемых и zero-click проблем делает его не менее приоритетным для администраторов.

Рекомендации по реагированию

Эксперты единодушны: обновление следует установить незамедлительно, особенно в отношении Outlook, Windows Search/Exchange и LDAP-компонентов. Корпоративным ИБ-командам рекомендуется активизировать мониторинг почтовых ящиков на предмет подозрительных вложений, проверить, не были ли ранее получены и открыты файлы, соответствующие описанной схеме атаки по CVE-2026-124194, и провести аудит контроллеров домена на предмет признаков эксплуатации CVE-2026-119958. Пользователям, не имеющим возможности оперативно установить патч, следует воздержаться от открытия непрошеных вложений и минимизировать время работы Outlook в фоне.