Microsoft выпустила ноябрьские обновления безопасности и закрыла уязвимость в почтовой программе Outlook, которую злоумышленники уже используют в атаках. Ошибка позволяет украсть данные для входа и затем выдавать себя за владельца учётной записи. Под угрозой пользователи Outlook в составе Microsoft 365 Apps, Office LTSC 2021 и Office LTSC 2024 — это привычная рабочая почта во многих компаниях и учреждениях, в том числе в Казахстане.
Уязвимость получила номер CVE-2026-124194. Схема такая: злоумышленник присылает специально подготовленный файл Office, и если человек его откроет, Outlook без обычного предупреждения о внешнем содержимом подключается к серверу атакующего. При этом он передаёт хеш NTLMv2 — зашифрованный «отпечаток» пароля Windows, с помощью которого можно войти в другие системы под именем жертвы. Без действий пользователя атака не сработает: файл нужно открыть самому.
В Microsoft подтвердили, что ошибку использовали как уязвимость нулевого дня — то есть до того, как появилось исправление. Подробностей атак компания не раскрыла. Опасность уязвимости оценили в 6,5 балла из 10. Найти её помог исследователь безопасности Бенуа Севенс, который работал с ИИ-моделью Claude компании Anthropic. Американское агентство по кибербезопасности CISA внесло уязвимость в список активно используемых и обязало федеральные ведомства США закрыть её до конца ноября.
В том же пакете Microsoft исправила ещё три критические уязвимости Outlook с оценкой 8,8 балла. Для них достаточно, чтобы вредоносное письмо просто отобразилось в области просмотра: открывать вложения или переходить по ссылкам не нужно. Сведений о том, что эти ошибки уже используют в атаках, пока нет.
Всего ноябрьское обновление закрывает 1093 уязвимости, 63 из них критические, подсчитали в компании Tenable; BleepingComputer насчитал 1235 исправлений. Счёт идёт на тысячи уже второй месяц подряд. Outlook — почтовый клиент Microsoft, который входит в офисный пакет вместе с Word и Excel и широко используется в корпоративной переписке.
Что делать:
- обновите Office: в Outlook или Word откройте «Файл» → «Учётная запись» → «Параметры обновления» → «Обновить». Исправленные версии — 16.0.14334.21048 для Office LTSC 2021 и 16.0.17932.21140 для Office LTSC 2024;
- не открывайте файлы Office из писем от незнакомых отправителей, даже если письмо выглядит рабочим;
- если почта рабочая, убедитесь, что IT-отдел уже установил ноябрьские обновления на компьютеры и серверы.
