Microsoft підтверджує активне використання нової вразливості Outlook Zero-Day

BleepingComputer повідомляє, що Microsoft у листопаді 2026 року на Patch Tuesday виправив рекордну кількість 1235 вразливостей, включаючи активно використовувану вразливість Microsoft Outlook zero-day.[2] TechRepublic зазначає, що аналіз Tenable налічив 1093 Microsoft CVE.[3]Згідно з BleepingComputer, вразливість отримала позначення CVE-2026-124194 і активно використовувалася в атаках для крадіжки гешів обліковних записів NTLM.[2] Microsoft попередив, що відкриття спеціально підготовленого файлу "може змусити Outlook підключитися до місця розташування, контрольованого зловмисником, без відображення звичайного попередження про зовнішній вміст."[2]Forbes повідомляє, що вразливість впливає на Microsoft 365 Apps for Enterprise та Office LTSC 2021 і 2024[1]. Джек Бісер з Action1 розповів Forbes, що "ця вразливість перетворює один відкритий файл на викрадену особистість."[1]TechRepublic, посилаючись на SecurityWeek, повідомляє, що Microsoft призначив цій вразливості рейтинг серйозності Помірна і оцінку CVSS 6,5.[3] TechRepublic додає, що просте отримання шкідливого електронного листа не запускає вразливість.[3]SOC Prime повідомляє, що CISA додала вразливість до каталогу відомих використовуваних вразливостей 10 листопада[4] і встановила 24 листопада як крайній термін для встановлення патча для застосовних федеральних агентств США.SecurityOnline повідомляє, що Microsoft не назвав, хто стоїть за атаками і скільки цілей були вражені.[5]Forbes повідомляє, що Тайлер Регулі з Fortra сказав "кожен повинен робити все можливе, щоб оновити Outlook якомога швидше."[1]