Microsoft выпустила ноябрьский Patch Tuesday с исправлениями для 1235 уязвимостей; среди них — активно эксплуатируемая уязвимость Outlook, через которую злоумышленники могли получать NTLM-хеши учётных записей. Для компаний, где Outlook остаётся частью почтового контура, эта уязвимость Outlook — повод не откладывать обновления в привычную папку «после квартального отчёта».
По данным BleepingComputer, в пакете насчитывается 66 критических проблем. К ним относятся 48 уязвимостей удалённого выполнения кода, 15 ошибок повышения привилегий и три случая use-after-free в Microsoft Edge. Основную массу составили 536 проблем повышения привилегий, 296 уязвимостей RCE, 157 ошибок раскрытия информации, 46 уязвимостей отказа в обслуживании, 27 обходов защитных механизмов и 22 проблемы подмены. Ещё 142 уязвимости относятся к Chromium-версии Edge.
Особое внимание Microsoft рекомендует уделить CVE-2026-124194 — ошибке подмены в Outlook, которую уже применяли в атаках. Неаутентифицированному атакующему достаточно отправить специально подготовленный файл сообщения и убедить пользователя открыть его в уязвимой версии почтового клиента. После этого Outlook может обратиться к сетевому ресурсу, контролируемому атакующим, без стандартного предупреждения о внешнем содержимом.
Такой сценарий опасен не эффектной демонстрацией «удалённого взлома в один клик», а вполне рабочей кражей NTLMv2-хеша. Windows при подключении к удалённому ресурсу способна попытаться аутентифицироваться автоматически; сервер злоумышленника перехватывает ответ, а затем пытается подобрать пароль офлайн или использовать полученные данные для дальнейшего доступа. Для фишинговых кампаний это знакомая механика: письмо с вложением превращается в точку входа к корпоративной учётной записи. Эксплуатация требует и сетевого соединения, и действия пользователя, но это не слишком высокий барьер для атак через почту.
Из 1235 исправлений около 639 затрагивают Windows и связанные с ней компоненты. Важно не путать эту цифру с общим числом устранённых Microsoft проблем за месяц: из подсчёта Patch Tuesday исключены ещё 108 уязвимостей, которые компания закрыла ранее в ноябре, включая одну проблему Entra Device Registration, 82 уязвимости Mariner и 25 — Edge. Иными словами, администратору не стоит ограничиваться одним набором ежемесячных обновлений: часть исправлений уже могла выйти отдельными каналами.
Ноябрьский выпуск продолжил неприятный, но показательный тренд. В октябре Microsoft устранила рекордные 1411 уязвимостей, а теперь снова перешла отметку в тысячу. BleepingComputer связывает рост объёма исправлений с применением ИИ для поиска и устранения дефектов. Это не означает, что продукты стали внезапно менее безопасными: автоматизированный поиск одновременно помогает находить больше ошибок, в том числе старых и малозаметных. Однако для команд безопасности итог измеряется не философией, а размером очереди на тестирование патчей.
Практический приоритет здесь довольно прозрачен. Сначала следует проверить, установлены ли обновления на рабочих станциях с Outlook, особенно у пользователей с доступом к критичным системам и внешней переписке. Затем — убедиться, что почтовые шлюзы, EDR и журналы сетевых событий способны заметить подозрительные обращения к внешним SMB-ресурсам или иным контролируемым атакующим адресам. Одного обучения сотрудников недостаточно: просьба «не открывайте сомнительные вложения» плохо конкурирует с документом, который выглядит как обычное рабочее сообщение.
Разработчикам и владельцам внутренних сервисов стоит отдельно оценить критические RCE и проблемы в Active Directory Domain Services, .NET и ASP.NET Core, попавшие в бюллетень. Даже если опубликованная ошибка не относится к интернет-периметру напрямую, сочетание повышения привилегий с уже имеющимся доступом часто становится следующим шагом после фишинга. Поэтому разумная последовательность — инвентаризация затронутых систем, тестирование обновлений на репрезентативной группе и ускоренное развёртывание там, где риск эксплуатации выше цены краткого окна обслуживания.
Ноябрь показал, что Patch Tuesday всё меньше похож на рутинный ежемесячный ритуал и всё больше — на постоянный поток управления уязвимостями. Главный вопрос для IT-команд теперь не в том, смогут ли они прочитать список из 1235 CVE, а в том, умеют ли они быстро выделить из него несколько путей, по которым атакующий действительно доберётся до почты, домена и важных данных.
