Анализ обновлений Microsoft Patch Tuesday – Ноябрь 2026

Краткое Резюме

Во вторник, 10.11.2026, Microsoft выпустила ежемесячный патч безопасности, устраняющий 1095 уязвимостей в своих продуктах.

По уровню опасности:

• Important - 1029;
• Critical - 64;
• Moderate - 2.

Эксплуатируемые (Zero-Days) и Публично Раскрытые Уязвимости

Особое внимание следует уделить следующей уязвимости. Ее исправление является наивысшим приоритетом:

• CVE-2026-124194 (CVSS 6.5; Moderate) - Microsoft Outlook Spoofing Vulnerability (Spoofing). Уязвимость в Microsoft Outlook, вызванная отсутствием предупреждения в интерфейсе при выполнении небезопасных действий (CWE-356). Неаутентифицированный злоумышленник может отправить жертве специально подготовленный файл сообщения и убедить открыть его. При открытии файла почтовый клиент инициирует исходящее сетевое подключение к контролируемому атакующим ресурсу в обход стандартных предупреждений о загрузке внешнего контента, что приводит к утечке NTLMv2-хеша пользователя и позволяет осуществить атаку с выдачей себя за жертву (область предварительного просмотра вектором атаки не является).

Общие тенденции

Ноябрьский Patch Tuesday 2026 года продолжает тенденцию исправления огромного количества уязвимостей в продуктах Microsoft. Microsoft закрыла 1095 уязвимостей. Несмотря на спад по сравнению с рекордным октябрем (1417 патчей), нагрузка на службы эксплуатации и ИБ остается критической уже третий месяц подряд. Ключевые тенденции ноября:

• Эксплуатация уязвимости нулевого дня в Outlook (CVE-2026-124194). Microsoft присвоила проблеме умеренный статус (Moderate), однако зафиксированы реальные целевые атаки с ее применением. Уязвимость используется в фишинге для перехвата NTLMv2-хешей в обход встроенных механизмов предупреждения безопасности. Из-за незаметности для пользователя она представляет серьезную опасность как точка первичного входа в корпоративную сеть.
• Критические угрозы в облачной среде и CI/CD (CVSS 10.0 и 9.9). Устранены фундаментальные проблемы безопасности: повышение привилегий в службе Entra Device Registration (максимальный балл 10.0) и удаленное выполнение кода в Azure DevOps Server (9.9). Обе бреши несут прямой риск компрометации каталога устройств и цепочки поставки ПО (Supply Chain).
• Уязвимости ядра и сетевых служб Windows (CVSS 9.8). Закрыт пакет RCE-уязвимостей, не требующих взаимодействия с пользователем. Под ударом оказались LDAP, DHCP Server, Windows Search и Microsoft SQL Server (а также стек Xbox Live Networking). Подобные бреши традиционно несут риск автоматизированного распространения атак внутри периметра.
• Массовые исправления в компонентах Office. Значительная часть бюллетеня отведена под RCE-уязвимости в Word, Excel, PowerPoint, Access и Visio. В совокупности с актуальным вектором через Outlook это подтверждает, что доставка полезной нагрузки через документы остается для атакующих приоритетным направлением.
• Безопасность ИИ-сервисов. Исправление критической ошибки в Azure OpenAI (CVE-2026-119990) показывает, что инфраструктура генеративного ИИ стала регулярной мишенью для реверс-инжиниринга и требует такого же контроля обновлений, как и традиционные сервисы.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.