Microsoft випустила оновлення для 1235 вразливостей, включно з нульовим днем Outlook

Microsoft у листопадовому пакеті Patch Tuesday 2026 року випустила оновлення безпеки для рекордних 1235 вразливостей. Серед них — уразливість нульового дня в Microsoft Outlook, яку, за даними компанії, вже використовували в атаках. Про оновлення повідомляє BleepingComputer.

У пакеті виправлень 66 вразливостей мають критичний рівень небезпеки. Із них 48 можуть дозволити віддалене виконання коду, 15 пов’язані з підвищенням привілеїв, ще три — з помилками use-after-free у Microsoft Edge. Приблизно 639 усунених проблем стосуються Windows або компонентів продуктів Microsoft Windows.

Уразливість Outlook використовували в атаках

Виправлена в Outlook уразливість дає змогу зловмиснику без автентифікації надіслати спеціально створений файл повідомлення та переконати користувача відкрити його у вразливій версії поштового клієнта. Після відкриття Outlook міг підключитися до мережевого розташування, яке контролює атакувальник, без звичного попередження про зовнішній вміст.

За описом Microsoft, це могло розкрити дані автентифікації, які потенційно можна використати для видавання себе за користувача. Для експлуатації потрібні мережеве підключення та взаємодія користувача.

Ризик розкриття NTLM-хешів

Проблема належить до вразливостей розкриття облікових даних NTLM. Шкідливе вкладення після відкриття здатне змусити Windows звернутися до мережевого ресурсу атакувальника. Під час такого підключення система може автоматично спробувати пройти автентифікацію та передати NTLMv2-хеш користувача.

Атакувальник може перехопити цей хеш і потенційно зламати його офлайн, а відновлені облікові дані використати для несанкціонованого доступу до корпоративних облікових записів.

Підрахунок 1235 вразливостей охоплює лише виправлення, оприлюднені саме в листопадовий Patch Tuesday. До нього не включили 108 проблем, усунених Microsoft раніше цього місяця, зокрема одну в Entra Device Registration, 82 у Mariner та 25 у Microsoft Edge. У жовтні компанія випустила виправлення для 1411 вразливостей.