---
title: "Microsoft усунула 1094 вразливості в листопадовому Patch Tuesday: активна експлуатація zero-day в Outlook та дві zero-click дірки з рейтингом 9,8"
description: "У листопадовому Patch Tuesday Microsoft усунула 1094 вразливості, включаючи активно експлуатований zero-day в Outlook (CVE-2026-124194) та дві zero-click дірки з рейтингом 9,8 у Windows Search і LDAP. Експерти закликають встановити оновлення негайно."
date: 2026-11-11T16:51:44.281Z
lang: uk
url: https://xab.info/uk/posts/microsoft-patch-tuesday-lystopad-2026-1094-vrazlyvosti
tags: [microsoft, patch-tuesday, zero-day, outlook, cve-2026-124194, vulnerability, windows, ldap, exchange, cybersecurity]
author: "Олександр Буран"
publisher: "XAB.info"
---

# Microsoft усунула 1094 вразливості в листопадовому Patch Tuesday: активна експлуатація zero-day в Outlook та дві zero-click дірки з рейтингом 9,8

![Абстрактні 3D-фігури навколо логотипа Microsoft Windows на блакитному фоні у стилі оновлення системи](https://xab.info/media/2026/11/11/microsoft-patch-tuesday-november-2026-1094-vulnerabilities/microsoft-patch-tuesday-november-2026-1094-vulnerabilities-1.webp)

## Ключові тези

- Microsoft усунула 1094 вразливості в листопадовому Patch Tuesday 2026 року
- Zero-day CVE-2026-124194 в Outlook активно експлуатується: витік NTLMv2-хешу через підроблений файл
- Дві zero-click вразливості CVE-2026-116928 (Windows Search/Exchange) та CVE-2026-119958 (LDAP) з критичним рейтингом 9,8 із 10
- 30 «червоподібних» вразливостей не потребують участі користувача
- Критична RCE-вразливість CVE-2026-112967 в Xbox Live Networking Service (9,8/10)

У листопадовій серії планових оновлень Patch Tuesday компанія Microsoft усунула у своїх продуктах 1094 вразливості, серед яких опинилася одна проблема нульового дня, що вже експлуатується в реальних атаках, дві zero-click вразливості з критичним рівнем небезпеки 9,8 із 10 та 30 так званих «червоподібних» багів, які не потребують жодної участі жертви. За масштабом листопадовий пакет поступається жовтневому, в якому було закрито 1413 проблем, проте за ступенем оперативної загрози для корпоративних мереж він, за оцінками експертів, не менш серйозний: активна експлуатація zero-day в Outlook та можливість віддаленого виконання коду без жодного кліка користувача роблять відкладання встановлення патчів вкрай ризикованим.

### Zero-day в Outlook: витік NTLMv2-хешу без стандартного попередження

Єдина вразливість нульового дня в листопадовому пакеті зареєстрована під номером CVE-2026-124194 і стосується клієнта Microsoft Outlook. Формальна оцінка ступеня загрози становить 6,5 із 10, проте експерти попереджають, що недооцінювати проблему не можна. Механіка атаки виглядає наступним чином: зловмисник надсилає жертві спеціально підготовлений файл і переконує користувача відкрити його. Після цього Outlook звертається до підконтрольного хакеру мережевого ресурсу, не виводячи стандартного попередження про завантаження зовнішнього контенту. У результаті відбувається витік NTLMv2-хешу облікових даних користувача, який атакуючий може використати для автентифікації в системі від імені жертви. Microsoft підтвердила, що CVE-2026-124194 вже експлуатується, але, як це нерідко трапляється, не розкрила дату початку атак, ідентифікацію зловмисників та характер дій, що вживаються після отримання доступу. Фахівці нагадують, що після публікації патча інші атакуючі можуть почати масове сканування мереж у пошуках вразливих версій Outlook та аналізувати код виправлення для розробки власних методів експлуатації.

### Дві zero-click вразливості з критичним рейтингом 9,8

У поточному пакеті усунено дві вразливості типу zero-click, що не потребують будь-якої участі користувача для розгортання атаки. Перша, CVE-2026-116928, пов'язана із записом даних за межами виділеного буфера в компоненті Microsoft Windows Search і загрожує віддаленим виконанням коду. Неавторизований зловмисник може скористатися цією функцією пошуку в Microsoft Exchange, надіславши електронного листа зі спеціально підготовленим вкладенням. Exchange автоматично обробляє вкладення для індексації, тому жертві не потрібно відкривати ні лист, ні файл. Успішна експлуатація дозволяє атакуючому виконувати код із правами служби, що відповідає за обробку даних. Друга, CVE-2026-119958, також належить до класу запису за межами буфера, але в реалізації протоколу LDAP. Вона дозволяє виконувати код віддалено без будь-якої участі користувача: достатньо надіслати на вразливу систему спеціально сформований LDAP-запит, що може призвести до компрометації контролерів домену. Обидві вразливості отримали критичну оцінку 9,8 із 10.

### «Червоподібні» загрози та критична дірка в Xbox Live

Окрім zero-click проблем, у листопадовому списку фігурують 30 «червоподібних» вразливостей, при експлуатації яких не потрібні ні участь користувача, ні його дії в мережі — теоретично це означає можливість автономного поширення шкідливого коду по інфраструктурі. Окремої уваги заслуговує критична вразливість CVE-2026-112967 у службі Windows Xbox Live Networking Service: вона також допускає віддалене виконання коду, має оцінку 9,8 із 10 і для її експлуатації не потрібні ні автентифікація, ні дії з боку користувача. Хоча Xbox Live Networking Service асоціюється насамперед з ігровою екосистемою, наявність у ній критичної RCE-вразливості у складі серверної інфраструктури Windows робить її релевантною для корпоративних середовищ, де ця служба може бути активною.

### Контекст: листопад проти рекордного жовтня

Для порівняння: у жовтневому Patch Tuesday 2026 року Microsoft виправила рекордні 1413 вразливостей, включаючи три проблеми нульового дня, одна з яких (CVE-2026-96951, 8,8 бала CVSS) вже використовувалася в реальних атаках і була пов'язана з обходом механізму Mark of the Web у Windows Shell. У жовтні більшість виправлень — 1102 — торкнулося безпосередньо Windows, ще 134 було закрито в Office, 61 — в інструментах для розробників, 36 — у SharePoint Server і 22 — в SQL Server; близько 70 вразливостей отримали статус критичних. Листопадовий пакет за загальною кількістю (1094) дещо менший, але концентрація активно експлуатованих та zero-click проблем робить його не менш пріоритетним для адміністраторів.

### Рекомендації щодо реагування

Експерти одностайні: оновлення слід встановити негайно, особливо щодо Outlook, Windows Search/Exchange та LDAP-компонентів. Корпоративним ІБ-командам рекомендується активізувати моніторинг поштових скриньок на предмет підозрілих вкладень, перевірити, чи не були раніше отримані та відкриті файли, що відповідають описаній схемі атаки за CVE-2026-124194, та провести аудит контролерів домену на предмет ознак експлуатації CVE-2026-119958. Користувачам, які не мають можливості оперативно встановити патч, слід утриматися від відкриття непроханих вкладень та мінімізувати час роботи Outlook у фоні.

## Перевірка фактів і джерела

- [Microsoft устранила более тысячи уязвимостей в очередном вторничном пакете обновлений](https://3dnews.ru/1151151) - Першоджерело: 1094 вразливості, CVE-2026-124194 (Outlook, 6.5, активно експлуатується), CVE-2026-116928 та CVE-2026-119958 (zero-click, 9.8), 30 червоподібних, CVE-2026-112967 (Xbox Live, 9.8). Всі дані перенесені без змін.
- [Microsoft устранила более тысячи уязвимостей в очередном вторничном пакете обновлений](https://3dnews.ru/1151151/microsoft-ustranila-bolee-tisyachi-uyazvimostey-v-ocherednom-vtornichnom-pakete-obnovleniy) - Первоисточник: 1094 уязвимости, CVE-2026-124194 (Outlook, 6.5, активно эксплуатируется), CVE-2026-116928 и CVE-2026-119958 (zero-click, 9.8), 30 червеподобных, CVE-2026-112967 (Xbox Live, 9.8). Все данные перенесены без изменений.
- [Октябрьский «вторник обновлений» Microsoft принес патчи для 1413 уязвимостей](https://xakep.ru/2026/10/16/october-2026-patches/) - Використано виключно для контекстного порівняння: жовтень 2026 — 1413 вразливостей, 3 zero-day, CVE-2026-96951 (8.8). Не суперечить листопадовим даним.

## Часті запитання

### Скільки вразливостей Microsoft закрила в листопадовому Patch Tuesday 2026?

Всього 1094 вразливості, включаючи одну активно експлуатовану zero-day, дві zero-click з критичним рейтингом 9,8 та 30 «червоподібних» проблем.

### Що являє собою zero-day CVE-2026-124194 в Outlook?

Це вразливість (6,5/10), при якій жертва відкриває спеціально підготовлений файл, після чого Outlook без стандартного попередження звертається до ресурсу атакуючого і відбувається витік NTLMv2-хешу користувача. Microsoft підтвердила активну експлуатацію, але не розкрила деталі атак.

### Що таке zero-click вразливості і чому вони небезпечніші?

Zero-click вразливості не потребують жодної дії з боку користувача. У листопадовому пакеті це CVE-2026-116928 (Windows Search в Exchange — достатньо надіслати лист із вкладенням) та CVE-2026-119958 (LDAP — достатньо надіслати сформований запит). Обидві мають рейтинг 9,8 із 10.

### Що робити користувачам та адміністраторам?

Встановити листопадові оновлення негайно, активізувати моніторинг пошти на підозрілі вкладення, перевірити контролери домену на ознаки експлуатації LDAP-вразливості та за необхідності обмежити час роботи Outlook у фоні до застосування патча.