В рамках ноябрьского обновления Patch Tuesday за 2026 год Microsoft устраняет 1 092 уязвимости в собственных продуктах, включая 1 102 уязвимости в Windows. Еще несколько месяцев назад такие объемы казались бы немыслимыми, но сейчас этот месяц воспринимается скорее как небольшая передышка. Пока неясно, приведет ли исправление столь большого числа уязвимостей к улучшению общей безопасности; любое изменение кода для устранения известной уязвимости вполне может создать новые скрытые сюрпризы, которые исследователи или злоумышленники обнаружат в будущем. Несмотря на значительный рост объемов в 2026 году, параллельного увеличения числа уязвимостей, эксплуатируемых «в дикой природе», не наблюдается. Microsoft известно об эксплуатации в реальных условиях лишь одной из уязвимостей, опубликованных сегодня, при этом в текущем месяце не было зафиксировано ни одного публичного раскрытия информации.
Outlook: уязвимость нулевого дня с подменой данных (spoofing)
Представьте, что вы возвращаетесь домой, проверяете почтовый ящик и находите открытку. Вы любуетесь абстрактным изображением тропического пляжа на закате и переворачиваете ее, чтобы изучить почерк на обороте, который кажется смутно знакомым. Она адресована вам, но подпись разобрать не удается, а само сообщение короткое и банальное. Настоящий ли это почерк или печать? Вероятно, рекламный проспект. Вы бросаете открытку в макулатуру и, за повседневными заботами, двигаетесь дальше и забываете о ней. Каким-то непостижимым образом вы остаетесь в полном неведении о том, что сразу после прочтения открытки вы достали телефон и отправили изображения ключа от входной двери в высоком разрешении на номер, с которым никогда раньше не связывались. Звучит как сюжет сомнительной научной фантастики? Да, хочется надеяться, но что, если вместо той безымянной открытки в вашем почтовом ящике Outlook оказался вредоносный файл? Теперь речь идет об уязвимости CVE-2026-124194, связанной со спуфингом и активно эксплуатируемой в реальных условиях. Простое открытие специально созданного вредоносного файла приводит к тому, что Outlook молча подключается к контролируемому злоумышленником ресурсу и передает хэш NTLM v2 пользователя. Обновления выпущены для всех поддерживаемых версий классического Outlook. Относительно низкий базовый балл CVSS v3.1, равный 6.5, не отражает всей картины, поскольку эта уязвимость представляет ценность как для массовых злоумышленников, стремящихся получить первоначальный доступ в больших масштабах, так и для более целенаправленных атак со стороны изощренных хакерских группировок. Хэш NTLM v2 может быть передан в реальном времени для выдачи себя за пользователя в другой службе, по крайней мере в тех случаях, когда эти службы не реализуют надлежащие меры защиты, такие как подписание сообщений для SMB или LDAP, а также расширенную защиту проверки подлинности для Exchange или Active Directory Certificate Services. Кроме того, мотивированный злоумышленник может взломать хэш NTLM v2 в автономном режиме, чтобы получить исходные учетные данные. Область предварительного просмотра (Preview Pane) не является вектором атаки, что несколько снижает реальный масштаб последствий.
Windows Schannel: критическая уязвимость RCE до аутентификации
Уязвимость удаленного выполнения кода (RCE) до аутентификации в Windows всегда привлекает внимание. CVE-2026-119952 позволяет злоумышленнику выполнять код на целевой системе путем отправки специально сформированных вредоносных пакетов. Поскольку уязвимым компонентом является Schannel, представляющий собой реализацию протокола Transport Layer Security (TLS) от Microsoft, злоумышленникам не придется долго искать уязвимые конечные точки. В бюллетене безопасности отмечается, что для реализации атаки необходимы определенные условия, что снижает вероятность масштабной эксплуатации, однако в том же бюллетене уровень угрозы оценивается как более вероятный, поэтому Microsoft, по-видимому, считает разработку надежного эксплойта вполне возможной. Во многих случаях злоумышленнику даже не потребуется иметь первоначальный доступ в ту же подсеть. Контекст выполнения, вероятно, зависит от уязвимой службы, что вновь подтверждает непреходящую важность архитектуры с наименьшими привилегиями, но это также означает, что в некоторых случаях нельзя исключать возможность RCE до аутентификации с правами SYSTEM.
Exchange/Windows Search: критическая уязвимость RCE до аутентификации
Может ли кто-то получить контроль над вашим сервером Exchange с помощью всего одного электронного письма? Если коротко: да. Microsoft предлагает клиентам тесную интеграцию между различными критически важными бизнес-компонентами. Exchange, работающий на базе Windows, — это продукт Microsoft на платформе Microsoft, а компонент Windows Search индексирует электронную почту от имени Exchange. Злоумышленник, стремящийся использовать CVE-2026-116928, полагается на эту удобную синергию для достижения RCE до аутентификации на сервере путем отправки вредоносного вложения, которое Exchange обработает автоматически. Каково это при низкой сложности атаки? Хотя в бюллетене не указан контекст выполнения, нам следует рассчитывать на уровень SYSTEM, поскольку несколько потенциально задействованных служб действительно работают с высоким уровнем привилегий. Поскольку исправления предназначены для ОС Windows, а не для самого Exchange, вам не придется беспокоиться о том, какую версию Exchange вы используете, при условии, что вы работаете исключительно с Exchange Subscription Edition, поскольку all previous versions of Exchange are now fully beyond end of support.
Обновление жизненного цикла Microsoft
В ноябре 2026 года изменений в жизненном цикле продуктов Microsoft меньше, чем в прошлом месяце. По состоянию на 11 ноября 2026 г. канал .NET 8 Long Term Servicing завершает свой срок поддержки, наряду с PowerShell 7.4 LTS, а также версиями 23H2 для Enterprise, Education и IoT редакции Windows 11.
Сводные диаграммы
Сводные таблицы
Уязвимости по семействам продуктов
Уязвимости в приложениях
Уязвимости в Azure
Уязвимости в средствах разработки
Уязвимости ESU
Уязвимости в Mariner
Уязвимости в Microsoft Dynamics
Уязвимости в Microsoft Office
Уязвимости в программном обеспечении с открытым исходным кодом
Другие уязвимости
Уязвимости в серверном ПО
Уязвимости в SQL Server
Уязвимости в System Center
Уязвимости в Windows
Уязвимости нулевого дня: зафиксирована эксплуатация
| | Уязвимость подделки данных в Microsoft Outlook | Эксплуатация обнаружена | Нет | 6.5 |
Уязвимости нулевого дня: публично раскрытые (эксплуатация не зафиксирована)
Нет
Критические уязвимости RCE и EoP
| CVE-2026-114146 | Уязвимость повышения привилегий в ASP.NET Core | Эксплуатация маловероятна | Нет | 9.0 | | CVE-2026-109467 | Уязвимость удаленного выполнения кода в Azure DevOps Server | Н/Д | Нет | 9.9 | | CVE-2026-119990 | Уязвимость повышения привилегий в Azure OpenAI | Н/Д | Нет | 9.8 | | CVE-2026-96067 | Уязвимость удаленного выполнения кода в Microsoft Color Management | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-96078 | Уязвимость удаленного выполнения кода в Microsoft Color Management | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-95882 | Уязвимость удаленного выполнения кода в Microsoft DirectMusic | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-95901 | Уязвимость удаленного выполнения кода в Microsoft DirectMusic | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-114162 | Уязвимость повышения привилегий в Microsoft Graph | Эксплуатация маловероятна | Нет | 9.1 | | CVE-2026-80095 | Уязвимость повышения привилегий в Microsoft Office SharePoint | Эксплуатация маловероятна | Нет | 9.0 | | CVE-2026-120002 | Уязвимость повышения привилегий в Microsoft SharePoint Server | Эксплуатация маловероятна | Нет | 9.9 | | CVE-2026-116945 | Уязвимость удаленного выполнения кода в Microsoft SQL Server | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-96157 | Уязвимость удаленного выполнения кода в Microsoft Windows Media Foundation | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-120779 | Уязвимость удаленного выполнения кода в Visual Studio Code | Эксплуатация маловероятна | Нет | 9.6 | | CVE-2026-88243 | Уязвимость удаленного выполнения кода в Windows DHCP Server | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-88218 | Уязвимость удаленного выполнения кода в Windows DNS | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-88234 | Уязвимость удаленного выполнения кода в Windows iSCSI | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-85844 | Уязвимость повышения привилегий в Windows Kerberos | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-119958 | Уязвимость удаленного выполнения кода в Windows LDAP (Lightweight Directory Access Protocol) | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-116928 | Уязвимость удаленного выполнения кода в Windows Search | Эксплуатация маловероятна | Нет | 9.8 | | CVE-2026-95962 | Уязвимость удаленного выполнения кода в Windows Virtual Filtering Platform (VFP) | Эксплуатация маловероятна | Нет | 9.0 | | CVE-2026-112967 | Уязвимость удаленного выполнения кода в Windows Xbox Live Networking Service | Эксплуатация маловероятна | Нет | 9.8 |
Теги статьи
- Patch Tuesday
- Управление уязвимостями
