Безопасность · 14 ноября 2026 г.
Также опубликовано на Português (Brasil), English, 한국어, 日本語, Indonesia, ไทย, हिन्दी, العربية, Norsk, Polski
Компания Microsoft устранила 1093 уязвимости в ноябре 2026 года, включая активно эксплуатируемую ошибку нулевого дня в Outlook
В ноябре 2026 года корпорация Microsoft выпустила ежемесячный пакет обновлений безопасности, в рамках которого было устранено 1093 уязвимости. Среди исправленных проблем находится одна ошибка нулевого дня в приложении Outlook, которая уже используется злоумышленниками для кражи данных аутентификации Windows. Это обновление стало предпоследним в текущем году и принесло значительные изменения для пользователей различных версий операционных систем.
По сравнению с октябрём 2026 года, когда было исправлено рекордное количество уязвимостей, равное 1407, ноябрьский показатель снизился на 314. Тем не менее, 1093 исправления делают этот месяц вторым по масштабу в истории регулярных обновлений безопасности компании, опережая сентябрьский показатель в 973 уязвимости. Из общего числа исправлений 733 касаются операционной системы Windows, 174 относятся к офисному пакету, 52 затрагивают серверную систему управления базами данных, 27 касаются платформы для совместной работы и 9 относятся к серверу электронной почты.
Более половины всех исправленных проблем, а именно 535, представляют собой уязвимости повышения привилегий. Это позволяет злоумышленнику, уже получившему доступ к системе, повысить уровень своих прав. Ещё 296 уязвимостей ведут к удалённому выполнению кода. В общей сложности 63 ошибки были классифицированы как критические по степени тяжести.
Особое внимание уделяется уязвимости с идентификатором CVE-2026-124194 в Outlook. Это ошибка нулевого дня, которая уже эксплуатируется в реальных атаках. Несмотря на умеренный уровень серьёзности и оценку 6,5 из 10 по шкале CVSS, данная проблема позволяет злоумышленнику отправлять жертве специально созданный вредоносный файл. При открытии этого файла приложение устанавливает соединение с сетевым ресурсом, контролируемым атакующим, без отображения стандартного предупреждения о внешнем содержимом.
В результате такого соединения может быть скомпрометирован хеш NTLMv2 пользователя. Хотя это не сам пароль, злоумышленник может попытаться подобрать его в автономном режиме или использовать хеш в атаках по принципу ретрансляции NTLM. Для успешной эксплуатации требуется сетевое соединение и взаимодействие пользователя с файлом. Ошибка затрагивает корпоративные приложения для облачной подписки, а также долгосрочные версии офисного пакета за 2021 и 2024 годы. Исправления распространяются через стандартные обновления офисного пакета.
Кроме устранения уязвимостей, ноябрьские обновления содержат важные изменения для администраторов. Версия Windows 11 23H2 получает свои последние обновления безопасности. Для Windows 11 24H2 обновления доступны только для корпоративных и образовательных изданий, поскольку домашние и профессиональные версии уже получили свои финальные обновления в октябре. Для Windows 10 обновления предназначены исключительно для долгосрочных изданий и машин, участвующих в расширенной программе поддержки.