Microsoft закрыла уязвимость нулевого дня в Outlook среди 1094 исправленных ошибок

По словам SecurityWeek, уязвимость нулевого дня отслеживаемая как CVE-2026-124194, классифицирована как ошибка подмены и возникает из-за того, что Outlook не предупреждает пользователей перед потенциально опасными действиями.[1] По данным издания, Microsoft присвоила ей рейтинг серьезности «средний» и оценку CVSS 6,5.[1]Microsoft предупреждает, что "неавторизованный злоумышленник может отправить специально подготовленный файл сообщения и убедить пользователя его открыть,"[2] сообщает BleepingComputer. BleepingComputer также добавляет, что эта уязвимость активно эксплуатировалась в атаках для кражи хешей учетных записей NTLM.[2]The Register сообщает, что Microsoft не указала, когда начались атаки, кто использует эту уязвимость и что они делают с полученным доступом[3].Splashtop говорит, что исправление не входит в совокупное обновление Windows (KB5132061), поэтому организации, развертывающие только обновления Windows, остаются уязвимыми до установки обновления Office.[4] По данным Splashtop, CISA добавила CVE-2026-124194 в свой каталог известных эксплуатируемых уязвимостей 10 ноября 2026 года с крайним сроком устранения 24 ноября[4].The Register сообщает о двух уязвимостях с нулевыми нажатиями в этом месячном пакете исправлений: CVE-2026-116928 и CVE-2026-119958.[3] BleepingComputer определяет количество как рекордное количество в 1235 ошибок[2], в то время как SecurityWeek говорит, что ноябрьский выпуск меньше октябрьского, когда Microsoft исправила рекордные 1413 уязвимостей.[1]SecurityWeek также сообщает, что обновления этого месяца также являются последними для редакций Enterprise и Education Windows 11 версии 23H2.[1]