У листопадовій серії планових оновлень Patch Tuesday компанія Microsoft усунула у своїх продуктах 1094 вразливості, серед яких опинилася одна проблема нульового дня, що вже експлуатується в реальних атаках, дві zero-click вразливості з критичним рівнем небезпеки 9,8 із 10 та 30 так званих «червоподібних» багів, які не потребують жодної участі жертви. За масштабом листопадовий пакет поступається жовтневому, в якому було закрито 1413 проблем, проте за ступенем оперативної загрози для корпоративних мереж він, за оцінками експертів, не менш серйозний: активна експлуатація zero-day в Outlook та можливість віддаленого виконання коду без жодного кліка користувача роблять відкладання встановлення патчів вкрай ризикованим.

Zero-day в Outlook: витік NTLMv2-хешу без стандартного попередження

Єдина вразливість нульового дня в листопадовому пакеті зареєстрована під номером CVE-2026-124194 і стосується клієнта Microsoft Outlook. Формальна оцінка ступеня загрози становить 6,5 із 10, проте експерти попереджають, що недооцінювати проблему не можна. Механіка атаки виглядає наступним чином: зловмисник надсилає жертві спеціально підготовлений файл і переконує користувача відкрити його. Після цього Outlook звертається до підконтрольного хакеру мережевого ресурсу, не виводячи стандартного попередження про завантаження зовнішнього контенту. У результаті відбувається витік NTLMv2-хешу облікових даних користувача, який атакуючий може використати для автентифікації в системі від імені жертви. Microsoft підтвердила, що CVE-2026-124194 вже експлуатується, але, як це нерідко трапляється, не розкрила дату початку атак, ідентифікацію зловмисників та характер дій, що вживаються після отримання доступу. Фахівці нагадують, що після публікації патча інші атакуючі можуть почати масове сканування мереж у пошуках вразливих версій Outlook та аналізувати код виправлення для розробки власних методів експлуатації.

Дві zero-click вразливості з критичним рейтингом 9,8

У поточному пакеті усунено дві вразливості типу zero-click, що не потребують будь-якої участі користувача для розгортання атаки. Перша, CVE-2026-116928, пов'язана із записом даних за межами виділеного буфера в компоненті Microsoft Windows Search і загрожує віддаленим виконанням коду. Неавторизований зловмисник може скористатися цією функцією пошуку в Microsoft Exchange, надіславши електронного листа зі спеціально підготовленим вкладенням. Exchange автоматично обробляє вкладення для індексації, тому жертві не потрібно відкривати ні лист, ні файл. Успішна експлуатація дозволяє атакуючому виконувати код із правами служби, що відповідає за обробку даних. Друга, CVE-2026-119958, також належить до класу запису за межами буфера, але в реалізації протоколу LDAP. Вона дозволяє виконувати код віддалено без будь-якої участі користувача: достатньо надіслати на вразливу систему спеціально сформований LDAP-запит, що може призвести до компрометації контролерів домену. Обидві вразливості отримали критичну оцінку 9,8 із 10.

«Червоподібні» загрози та критична дірка в Xbox Live

Окрім zero-click проблем, у листопадовому списку фігурують 30 «червоподібних» вразливостей, при експлуатації яких не потрібні ні участь користувача, ні його дії в мережі — теоретично це означає можливість автономного поширення шкідливого коду по інфраструктурі. Окремої уваги заслуговує критична вразливість CVE-2026-112967 у службі Windows Xbox Live Networking Service: вона також допускає віддалене виконання коду, має оцінку 9,8 із 10 і для її експлуатації не потрібні ні автентифікація, ні дії з боку користувача. Хоча Xbox Live Networking Service асоціюється насамперед з ігровою екосистемою, наявність у ній критичної RCE-вразливості у складі серверної інфраструктури Windows робить її релевантною для корпоративних середовищ, де ця служба може бути активною.

Контекст: листопад проти рекордного жовтня

Для порівняння: у жовтневому Patch Tuesday 2026 року Microsoft виправила рекордні 1413 вразливостей, включаючи три проблеми нульового дня, одна з яких (CVE-2026-96951, 8,8 бала CVSS) вже використовувалася в реальних атаках і була пов'язана з обходом механізму Mark of the Web у Windows Shell. У жовтні більшість виправлень — 1102 — торкнулося безпосередньо Windows, ще 134 було закрито в Office, 61 — в інструментах для розробників, 36 — у SharePoint Server і 22 — в SQL Server; близько 70 вразливостей отримали статус критичних. Листопадовий пакет за загальною кількістю (1094) дещо менший, але концентрація активно експлуатованих та zero-click проблем робить його не менш пріоритетним для адміністраторів.

Рекомендації щодо реагування

Експерти одностайні: оновлення слід встановити негайно, особливо щодо Outlook, Windows Search/Exchange та LDAP-компонентів. Корпоративним ІБ-командам рекомендується активізувати моніторинг поштових скриньок на предмет підозрілих вкладень, перевірити, чи не були раніше отримані та відкриті файли, що відповідають описаній схемі атаки за CVE-2026-124194, та провести аудит контролерів домену на предмет ознак експлуатації CVE-2026-119958. Користувачам, які не мають можливості оперативно встановити патч, слід утриматися від відкриття непроханих вкладень та мінімізувати час роботи Outlook у фоні.