Microsoft закрыла более тысячи уязвимостей. Ошибку в Outlook уже использовали в атаках

10 ноября Microsoft выпустила ежемесячные обновления безопасности для Windows, Office и других продуктов. BleepingComputer насчитал 1 235 исправленных уязвимостей с учётом Edge на базе Chromium. Среди них CVE-2026-124194 в настольном Outlook. Microsoft оценила её в 6,5 балла из 10 и подтвердила, что уязвимость использовали до выхода исправления.

Outlook мог раскрыть данные сетевой аутентификации

По описанию Microsoft, при открытии специально подготовленного файла сообщения Outlook мог подключиться к внешнему ресурсу без обычного предупреждения. Для атаки требовались действие пользователя и сетевое подключение. Ошибка касалась предупреждения, которое должно было появиться до потенциально небезопасного действия.

BleepingComputer уточняет, что под угрозой оказались данные NTLM. Этот механизм Windows использует для подтверждения личности при доступе к некоторым сетевым ресурсам. Если данные такого обмена раскрываются, у атакующего может появиться возможность выдать себя за пользователя.

Оценка CVSS 6,5 учитывает условия атаки, включая участие пользователя. Для развёртывания патча важен и другой факт: уязвимость уже использовали. В день выхода обновления CISA внесла её в каталог известных эксплуатируемых уязвимостей и указала для федеральных ведомств США срок устранения до 24 ноября.

Исправление нужно искать по сборке Office

В записи CVE, опубликованной Microsoft, указаны три линейки Office для 32- и 64-разрядных систем. Для выпусков LTSC есть минимальные исправленные сборки. В Microsoft 365 номер зависит от канала обновлений.

• Office LTSC 2021 — 16.0.14334.21048 или новее.
• Office LTSC 2024 — 16.0.17932.21140 или новее.
• Microsoft 365 Apps for Enterprise — ноябрьская сборка своего канала. Например, для версии 2610 Microsoft выпустила 20527.20196 в Current Channel и 20527.20194 в Monthly Enterprise Channel.

У Windows 11 в тот же день вышло накопительное обновление KB5132061 для версий 24H2, 25H2 и 26H2. Windows и Office обновляются отдельно. На рабочем компьютере свежий патч Windows может уже стоять, а Outlook всё ещё оставаться на прежней сборке Office.

Почему один источник насчитал 1 093 уязвимости, а другой — 1 235

Tenable насчитала 1 093 CVE, из них 63 критические. В подсчёт BleepingComputer вошли ещё 142 уязвимости Chromium-версии Edge. В итоге у издания получилось 1 235, из них 66 критических.

BleepingComputer считает обновления, выпущенные в день Patch Tuesday. В ноябрьский итог издание не включило ещё 108 уязвимостей, исправленных ранее в том же месяце. По той же методике в октябре оно насчитало 1 411 исправлений. Для сравнения двух месяцев важна одинаковая методика, а для проверки конкретного компьютера — список затронутых продуктов и номер исправленной сборки.