Microsoft novemberi Patch Tuesday
A Microsoft frissítéscsomagjában 1235 biztonsági sérülékenységet javított, köztük 66 kritikus besorolású hibát. A javítások különösen nagy száma mellett a legfontosabb fejlemény egy Microsoft Outlookot érintő nulladik napi sérülékenység, amelyet a támadók már a biztonsági frissítés megjelenése előtt is kihasználtak.
A CVE-2026-124194 azonosítójú Outlook-hiba lehetővé teszi, hogy a támadó egy speciálisan előkészített üzenetfájl megnyitásával a felhasználó tudta nélkül kapcsolatot létesítsen egy általa ellenőrzött hálózati kiszolgálóval. A kapcsolat során kiszivároghat a Windows NTLM-hitelesítéséhez használt adat, amely megfelelő körülmények között további jogosulatlan hozzáférésekhez használható fel. A támadáshoz felhasználói közreműködés és hálózati kapcsolat szükséges, azonban az Outlook nem jeleníti meg a megszokott figyelmeztetést a külső tartalom eléréséről.
A frissítéscsomag 536 jogosultságkiterjesztési és 296 távoli kódfuttatást lehetővé tevő sérülékenységet is kezel. A 66 kritikus hiba közül 48 távoli kódfuttatáshoz, 15 jogosultságkiterjesztéshez kapcsolódik. A javítások a Windows mellett többek között a Windows Server, az Office, az Exchange, a SharePoint és az Azure egyes komponenseit is érintik.
A 1235 javított sérülékenység nem tartalmazza a november elején már kezelt további 108 hibát. A rendkívül magas szám részben a sérülékenység-felderítés fejlődésével, ezen belül a mesterséges intelligencia alkalmazásával is összefügg.
