Microsoft закрыла дыру в Outlook, через которую уже крали данные входа в Windows

В ноябрьском обновлении безопасности, вышедшем 10 ноября, Microsoft закрыла уязвимость в Outlook, которой злоумышленники пользовались ещё до выхода патча. Специально подготовленный файл письма заставляет Outlook незаметно подключиться к серверу атакующего, и Windows при этом отдаёт NTLMv2-хэш учётной записи пользователя. Тем, кто работает в Outlook, стоит поставить обновление Office сейчас. Всего выпуск закрывает 1093 уязвимости, по подсчёту Tenable, или 1235, если вместе с BleepingComputer учитывать исправления браузера Edge.

Как устроена атака через Outlook

Microsoft относит CVE-2026-124194 к уязвимостям подмены и оценивает её как умеренную, 6,5 балла по CVSS. Атакующему не нужна учётная запись: он присылает специально подготовленный файл письма. Когда жертва его открывает, Outlook подключается к сетевому ресурсу злоумышленника и не показывает привычного предупреждения о внешнем содержимом. Windows может автоматически попытаться войти на этот сервер и передать NTLMv2-хэш пользователя.

Хэш можно попытаться подобрать офлайн и восстановить пароль или использовать, чтобы выдать себя за пользователя в следующих атаках. Для атаки жертва должна открыть файл, а компьютер должен быть в сети. По словам Microsoft, область предварительного просмотра не задействована, то есть простого просмотра списка писем недостаточно.

Microsoft подтверждает, что уязвимость применяли в реальных атаках, но не говорит, кто за ними стоит, против кого они направлены и насколько широко. BleepingComputer напоминает, что похожие дыры в Outlook эксплуатировали и раньше, обычно через фишинговые письма с вредоносными вложениями. По данным Tenable, в бюллетене благодарят исследователя, который нашёл ошибку с помощью модели Claude от Anthropic.

Кому нужно обновиться

Уязвимы 32- и 64-битные версии Office LTSC 2021, Office LTSC 2024 и Microsoft 365 Apps for Enterprise. Исправление приходит через обновления Office. Если Центр обновления Windows не настроен ставить обновления других продуктов Microsoft, проверьте Office отдельно: в Outlook откройте «Файл», затем «Учётная запись Office», «Параметры обновления» и выберите «Обновить».

У компаний есть и другие срочные задачи. Tenable выделяет критические уязвимости удалённого выполнения кода в доменных службах Active Directory и в Exchange Server, обе на 8,8 балла с пометкой «эксплуатация более вероятна», а также уязвимость в Schannel, компоненте Windows для шифрованных соединений, которую можно использовать без входа в систему, на 8,1 балла. Ошибка повышения привилегий в SharePoint Server набрала 9,9 балла, но получила лишь уровень «Важный».

Откуда такие цифры

Итог зависит от того, кто считает. Tenable и Cyber Security News насчитали 1093 уязвимости, выпущенные во вторник обновлений. BleepingComputer добавляет 142 записи по Edge и получает 1235. Ещё 108 исправлений, которые Microsoft выпустила раньше в ноябре, в основном для своего Linux-дистрибутива Mariner и для Edge, издание не учитывает. Примерно половина дыр относится к повышению привилегий: они дают атакующему, уже попавшему на компьютер, больше контроля над системой.

BleepingComputer называет ноябрьский выпуск рекордным, хотя по его же подсчёту в октябре дыр было больше, 1411. Так или иначе, ежемесячные выпуски теперь исчисляются тысячами. В начале года они были намного меньше: 54 исправления в феврале и 163 в апреле, по данным Tenable. BleepingComputer связывает рост с тем, что Microsoft ищет и закрывает уязвимости с помощью ИИ.

Домашним пользователям достаточно двух вещей: поставить обновления Windows и Office и не открывать файлы писем и вложения, которых вы не ждали, даже если они пришли будто бы от знакомого.