Microsoft-ը շտկել է 1 259 խոցելիություն, այդ թվում՝ Outlook-ի շահագործվող բացը

Microsoft-ը նոյեմբերի 10-ին թողարկել է իր ծրագրերում առկա 1 259 խոցելիության շտկումներ։ Դրանց թվում է Outlook-ի մի խոցելիություն, որը, ընկերության խոսքով, հարձակվողներն ակտիվորեն շահագործում են։ Սա երկրորդ ամիսն անընդմեջ է, երբ ընկերության շտկած խոցելիությունների թիվը գերազանցում է 1 000-ը։

Outlook-ի՝ CVE-2026-124194 նույնացուցիչով խոցելիությունը կարող է բացահայտել օգտատիրոջ իսկությունը հաստատելու համար օգտագործվող տեղեկությունները։ Microsoft-ը դրա վտանգավորությունը գնահատում է միջին՝ 6,5 միավոր։

Ինչպես է գործում Outlook-ի խոցելիությունը

Նախապես իր իսկությունը չհաստատած հարձակվողը կարող է ուղարկել հատուկ պատրաստված հաղորդագրության ֆայլ և համոզել որևէ մեկին այն բացել Outlook-ի խոցելի տարբերակով։ Ֆայլը կարող է ստիպել Outlook-ին միանալ հարձակվողի վերահսկողության տակ գտնվող ցանցային հասցեին՝ առանց արտաքին բովանդակության մասին սովորական նախազգուշացման։ Արդյունքում կարող են բացահայտվել իսկության հաստատման տեղեկություններ, որոնք կարող են թույլ տալ ներկայանալ օգտատիրոջ անունից։ Microsoft-ի խոսքով՝ խոցելիությունը շահագործելու համար անհրաժեշտ են ցանցային կապ և օգտատիրոջ գործողություն։

Այդ տեղեկությունները կարող են ներառել NTLMv2 հեշ՝ իսկության հաստատման համար օգտագործվող տվյալ։ Action1-ի խոցելիությունների հետազոտության տնօրեն Ջեք Բայսերն ասել է, որ ձեռք բերված հեշը կարող է հարձակվողին թույլ տալ մուտք գործել տուժողի անունից, կարդալ նրա տվյալները և անցնել այլ համակարգեր, որոնց տուժողը հասանելիություն ունի։

Microsoft-ը խոցելիության շահագործումը չի վերագրել որևէ կոնկրետ հարձակվողի և հարձակումների տեխնիկական մանրամասներ չի հրապարակել։ Ընկերության անվտանգության ծանուցման մեջ նաև չի նշվում՝ խոցելիությունը հայտնաբերվել է շահագործումը սկսվելուց առաջ, թե հետո։ Microsoft-ը խոցելիությունը հայտնաբերելու և դրա մասին հայտնելու համար նշել է հետազոտող Նոնոյի և Anthropic-ի հետազոտող Բենուա Սևենսի ներդրումը․ վերջինս օգտագործել է Claude-ը։

Office-ի խոցելի տարբերակները

Microsoft-ի խոցելիության գրառման մեջ հետևյալ տարբերակները նշված են որպես խոցելի ինչպես 32-բիթանոց, այնպես էլ x64 համակարգերում։ Շտկված տարբերակները չեն մտնում խոցելի տարբերակների նշված միջակայքերի մեջ։

Windows-ի որոշ օգտատերեր հայտնել են տեղադրման ձախողումների մասին

Որոշ օգտատերեր ասել են, որ Windows-ի KB5132061 թարմացումը չի ներբեռնվել կամ չի տեղադրվել․ այս մասին գրել է The Register-ը։ Օգտատերերը հայտնել են 0x800F0993 և 0x800F0989 սխալի կոդերի մասին։ Հոդվածի հրապարակման պահին՝ նոյեմբերի 11-ին, Microsoft-ը թարմացման համար հայտնի խնդիրներ չէր նշել և չէր բացատրել օգտատերերի նկարագրած ձախողումները։

Օգտատերերից մեկն ասել է, որ թարմացումը տեղադրվել է Windows Sandbox-ն անջատելուց և համակարգիչը վերագործարկելուց հետո։ Մյուսները հայտնել են ձախողումների մասին՝ անկախ նրանից՝ այդ գործառույթը միացված էր, թե ոչ։ Microsoft-ը չէր հաստատել, որ այս եղանակը լուծում է խնդիրը։

Շտկումների ընդգրկումն ու դաշնային գերատեսչությունների վերջնաժամկետը

Փաթեթում ներառված են Microsoft-ից բացի այլ կազմակերպությունների տրամադրած 165 նույնացուցիչներով խոցելիություններ․ այս մասին գրել է The Hacker News-ը։ Հրապարակման մեջ ըստ ծրագրերի նշված թվերից են՝

Tenable-ի ավագ հետազոտող ինժեներ Սաթնամ Նարանգի խոսքով՝ այս փաթեթով 2026-ին Microsoft-ի շտկած խոցելիությունների ընդհանուր թիվը գերազանցում է 5 100-ը։ watchTowr-ի սպառնալիքների հետախուզության ղեկավար Ջեյք Նոթը համակարգերի ադմինիստրատորներին խորհուրդ է տվել առաջնահերթ ուշադրություն դարձնել համացանցից հասանելի բաղադրիչներին, ապա՝ արդեն շահագործվող խոցելիություններին։ Նա նաև խորհուրդ է տվել ստուգել՝ արդյոք նրանք օգտագործում են խոցելի բաղադրիչը, և առկա են արդյոք խոցելիության շահագործման համար անհրաժեշտ պայմանները։

ԱՄՆ-ի կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը նոյեմբերի 10-ին Outlook-ի խոցելիությունն ավելացրել է հայտնի շահագործվող խոցելիությունների իր ցանկում։ Դաշնային գերատեսչությունները պետք է շտկումը կիրառեն մինչև 2026 թ․ նոյեմբերի 24-ը։ Գործակալության գրանցած պահանջը նաև նախատեսում է կիրառել մատակարարի հրահանգներին համապատասխան պաշտպանական միջոցներ և հետևել ռիսկի հիման վրա անվտանգության շտկումներ կիրառելու ու թվային փորձաքննության նախնական գնահատման վերաբերյալ իր ուղեցույցներին։