Outlook zero-day CVE-2026-124194: yamaq (noy 2026)

Outlook zero-day CVE-2026-124194 nədir?

CVE-2026-124194 düzəliş mövcud olmamışdan əvvəl hücumçuların istismar etdiyi Microsoft Outlook spoofing zəifliyidir; Microsoft onu 10 noyabr 2026-da yamaqlayıb ^[1][2].

Microsoft-un Security Update Guide-ı zəifliyi “Exploitation Detected” kimi göstərir və yamaqdan əvvəl ictimai açıqlanmadığını bildirir ^[1]. Onun zəiflik növü CWE-356-dır, bu da məhsulun təhlükəli əməliyyatdan əvvəl istifadəçini xəbərdar etmədiyi deməkdir ^[1][6].

Sadə dillə desək, Outlook xarici şəbəkə məkanından məzmun gətirməzdən əvvəl xəbərdarlıq göstərməlidir. Bu xəta ilə xüsusi hazırlanmış mesaj faylı Outlook-u həmin xəbərdarlığı göstərmədən hücumçunun idarə etdiyi serverə qoşulmağa məcbur edə bilərdi ^[1][2].

BleepingComputer və SecurityWeek-ə görə, o, Microsoft-un 2026-cı ilin noyabr buraxılışında aktiv istismar olunan yeganə zero-day idi ^[2][3]. Microsoft onu bildirdiyinə görə “nono” kimi tanınan tədqiqatçını və Benoît Sevens-i qeyd edib ^[3].

Bu, təhlükəsizlik zəifliyidir, xidmət kəsintisi deyil.

Outlook NTLM hash sızması necə işləyir?

Hücumçu xüsusi hazırlanmış mesaj faylı göndərir; qurban onu təsirlənmiş Outlook-da açarsa, Windows hücumçunun serverinə daxil olmağa çalışa və istifadəçinin NTLMv2 hash-ini təhvil verə bilər ^[1][2].

1. Çatdırılma: hücumçu zərərli mesaj faylını e-poçtla və ya başqa yolla paylaşır ^[1].
2. İstifadəçi hərəkəti: qurban faylı Outlook-da açır. Microsoft deyir ki, Preview Pane hücum vektoru deyil, ona görə açmaq üçün klik lazımdır ^[1].
3. Gizli bağlantı: Outlook adi xarici məzmun xəbərdarlığı olmadan hücumçunun idarə etdiyi şəbəkə məkanına qoşulur ^[1].
4. Hash göndərilir: Windows avtomatik autentifikasiya etməyə çalışır və bu, istifadəçinin NTLMv2 hash-ini üzə çıxarır ^[1][2].
5. Sui-istifadə: hücumçu hash-i oflayn sındırmağa və ya onunla istifadəçi kimi autentifikasiya etməyə cəhd edə bilər ^[1][2].

NTLM köhnə Windows giriş protokoludur. Hash parolun özü deyil, lakin BleepingComputer deyir ki, ələ keçirilmiş NTLMv2 hash oflayn sındırıla bilər ^[2] və Microsoft qeyd edir ki, NTLM SMB relay, man-in-the-middle və brute-force hücumlarına açıqdır ^[9]. BleepingComputer həmçinin oxşar NTLM sızma zəifliklərinin əvvəllər fişinq kampaniyalarında zərərli qoşmalar vasitəsilə istismar edildiyini qeyd edib ^[2].

Microsoft-un bildirişi kimin hədəf alındığı və nə dərəcədə geniş olduğu barədə heç bir təfərrüat vermir ^[3].

Hansı Outlook versiyaları təsirlənir və düzəldilmiş build-lər hansılardır?

Microsoft həm 32 bitlik, həm 64 bitlik buraxılışlarda Microsoft 365 Apps for Enterprise, Office LTSC 2021 və Office LTSC 2024-ü təsirlənmiş kimi göstərir ^[1][5].

2026-cı ilin noyabr Office təhlükəsizlik buraxılışı 10 noyabrda çıxıb və hər yeniləmə kanalını əhatə edir ^[5]. Microsoft CVE-2026-124194-ü həmin buraxılışın Outlook bölməsi altında göstərir ^[5]. Aşağıdakı cədvəl hər kanal və versiya üçün Microsoft-un göstərdiyi düzəldilmiş build-ləri verir. Build-inizi kanalınıza və versiyanıza uyğun sətirlə müqayisə edin.

Build-inizi tapmaq üçün Office tətbiqində File, sonra Office Account (və ya Account) açın; Product Information bölməsi məhsul adını və bəzi hallarda tam versiya nömrəsini göstərir, tətbiqin About düyməsi isə tam versiyanı göstərir ^[10]. Yeniləməni quraşdırmaq üçün Update Options, sonra Update Now seçin ^[8]. Update Options yoxdursa və yalnız About düyməsi görünürsə, nüsxəniz həcmli lisenziyalıdır və ya təşkilatınız tərəfindən idarə olunur, ona görə Microsoft Update-dən istifadə edin və ya dəstək xidməti ilə əlaqə saxlayın ^[8].

SecurityWeek eyni üç təsirlənmiş məhsulu sadalayıb ^[3]. Microsoft-un bildirişi yalnız Office məhsullarını təsirlənmiş kimi göstərir və düzəliş üçün Office təhlükəsizlik buraxılış qeydlərinə yönləndirir, ona görə Windows məcmu yeniləməsi düzəliş deyil ^[1][5].

Outlook zero-day nə dərəcədə ciddidir?

Microsoft onu 6,5 CVSS 3.1 baza balı ilə Moderate qiymətləndirir, lakin hücumlar artıq baş verdiyi üçün sürətli addım atmağa dəyər ^[1][3][4].

CVSS vektoru göstərir ki, istifadəçi qarşılıqlı əlaqəsi tələb olunur (istifadəçi faylı açmalıdır), məxfiliyə təsir yüksəkdir, bütövlüyə və əlçatanlığa təsir yoxdur ^[1].

Üç fakt praktik təcililiyi baldan artıq yüksəldir:

• Təsdiqlənmiş istismar: Microsoft onu istismar olunmuş kimi qeyd edib, CISA isə 10 noyabr 2026-da Known Exploited Vulnerabilities kataloquna əlavə edib ^[1][4].
• Kimlik məlumatlarının oğurlanması: Microsoft deyir ki, sızan hash istifadəçi kimi autentifikasiya üçün istifadə oluna bilər ^[1] və qeyd edir ki, NTLM relay və brute-force hücumlarına açıqdır ^[9].
• Fişinq vasitəsilə çatdırılma: BleepingComputer deyir ki, oxşar NTLM zəiflikləri əvvəllər fişinq kampaniyalarında zərərli qoşmalar vasitəsilə istismar olunub ^[2].

CISA ABŞ federal mülki agentliklərinə düzəlişi tətbiq etmək üçün 24 noyabr 2026-dək vaxt verib ^[4]. CISA bildirir ki, ransomware qruplarının bu zəiflikdən istifadə edib-etmədiyi məlum deyil ^[4]. Yaponiyada JPCERT/CC də istifadəçiləri yeniləmələri tətbiq etməyə çağıran xəbərdarlıq verib ^[6].

CVE-2026-124194-dən özünüzü necə qorumalı?

Əvvəlcə 2026-cı ilin noyabr Office yeniləməsini quraşdırın; Microsoft-un bildirişi yeniləməni düzəliş kimi göstərir və ayrıca müvəqqəti həll vermir ^[1][5]. Sonra aşağıdakı ümumi sərtləşdirmə addımlarını nəzərdən keçirin ^[7][9].

1. Office-i yeniləyin: Outlook-da File, Office Account, Update Options, Update Now seçin və ya yeniləməni idarəetmə alətləriniz vasitəsilə göndərin ^[5][8].
2. Build-i təsdiqləyin: Outlook-da göstərilən build-i Microsoft-un kanalınız üçün siyahısı ilə müqayisə edin ^[5].
3. Çıxan SMB-ni bloklayın: Microsoft-un ümumi SMB təlimatı korporativ firewall-da internetə çıxan TCP 445 portunun bloklanmasını məsləhət görür və Azure Files və ya Office 365 kimi ictimai bulud təklifi tələb etmirsə, ona ehtiyacınızın olmayacağını bildirir ^[7]. Bu, dərinlikdə müdafiədir, bu zəiflik üçün Microsoft-un göstərdiyi müvəqqəti həll deyil.
4. Noutbukları əhatə edin: Microsoft ictimai şəbəkələr üçün noutbuklarda çıxan firewall qaydalarını tövsiyə edir, çünki onlar istifadəçiləri kimlik məlumatlarını toplayan zərərli serverlərə yönəldən fişinq hücumlarını azaldır ^[7].
5. Çıxan NTLM-i məhdudlaşdırın: Windows siyasəti “Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers” çıxan NTLM-i audit edə və ya rədd edə bilər; Microsoft əvvəlcə Audit all seçib jurnala baxmağı məsləhət görür ^[9].
6. Mesaj fayllarına ehtiyatlı olun: gözlənilməz mesaj qoşmalarını, tanış əlaqələrdən gəlsə belə, açmayın.

Ələ keçirilmiş hash oflayn sındırıla bildiyinə görə ^[2], uzun, unikal parol daha yaxşı müdafiədir. Pouyam bələdçisinə baxın: Parol menecerləri izah olunur: necə işləyir və təhlükəsizdirmi.

Şübhəli mesaj faylını açmısınızsa nə etməlisiniz?

Ümumi ehtiyat tədbiri olaraq, daxil olduğunuz Windows və ya iş hesabının parolunu dəyişin və IT komandanıza bildirin ki, giriş jurnallarını yoxlasınlar.

Microsoft-un bildirişi deyir ki, zəiflik istifadəçinin NTLMv2 hash-ini açıqlayır və o, istifadəçi kimi autentifikasiya üçün istifadə oluna bilər ^[1]; artıq belə fayl açmış ola biləcək insanlar üçün addımlar vermir. Ələ keçirilmiş hash köhnə paroldan törəyir, ona görə yeni parol həmin hash-in artıq hesaba uyğun gəlmədiyi deməkdir.

• Bildirin: IT və ya təhlükəsizlik işçilərinə faylı nə vaxt açdığınızı və kimin göndərdiyini deyin.
• E-poçtu saxlayın: silməyin; bu, araşdırmaçılara digər alıcıları tapmaqda kömək edir.
• Girişləri yoxlayın: administratorlar hesab fəaliyyətində tanış olmayan yerləri və ya cihazları yoxlaya bilər.
• Çoxfaktorlu autentifikasiyadan istifadə edin: o, sındırılmış parolu onlayn xidmətlərə girişdə daha az faydalı edir, baxmayaraq ki, hücumçunun hash-i sındırmağa cəhd etməsinin qarşısını ala bilməz.

Çıxan NTLM siyasətini audit rejiminə təyin edən administratorlar cəhdlərin cihazdan NTLM autentifikasiya sorğuları alan serverləri göstərən NTLM əməliyyat jurnalında qeyd olunduğunu görəcək ^[9]. Ev istifadəçiləri üçün addımlar daha sadədir: Office-i yeniləyin, qəribə fayl açmısınızsa parolunuzu dəyişin və iki mərhələli girişi aktiv edin. Pouyam bələdçisi İki faktorlu autentifikasiya izah olunur: hansı 2FA üsulu ən təhlükəsizdir? variantları müqayisə edir.

Microsoft 2026-cı ilin noyabr Patch Tuesday-ində daha nələri düzəldib?

Microsoft-un 2026-cı ilin noyabr buraxılışı 1.000-dən çox zəifliyi düzəldib, lakin nəşrlər fərqli saydı: SecurityWeek 1.094, BleepingComputer isə 1.235 bildirdi ^[2][3].

Nəşrlərin heç biri fərqi tam izah etmir. BleepingComputer deyir ki, onun cəmi ayın əvvəlində düzəldilmiş 108 zəifliyi istisna edir ^[2], SecurityWeek isə məhsul bölgüsü verir və Microsoft-un yenidən dərc etdiyi 165 üçüncü tərəf CVE-ni də qeyd edir ^[3]. BleepingComputer zəifliklərdən 66-nın Critical qiymətləndirildiyini bildirib ^[2]. SecurityWeek 726 Windows zəifliyini və Office-də 174-ü saydı ^[3].

Outlook xətası istismar olunmuş kimi qeyd edilən yeganə zəiflik idi ^[1][2][3]. SecurityWeek-in yazdığına görə, buraxılışa Windows 11 versiya 23H2 Enterprise və Education buraxılışları üçün sonuncu aylıq təhlükəsizlik yeniləmələri də daxil idi ^[3].

Oktyabrın buraxılışı rekord ölçüdə daha böyük idi: BleepingComputer 1.411, SecurityWeek isə 1.413 düzəliş bildirdi ^[2][3]. BleepingComputer qeyd etdi ki, Microsoft zəiflikləri tapmaq və yamaqlamaq üçün süni intellektdən istifadəni davam etdirir ^[2]. Ev istifadəçiləri üçün praktik məsləhət hər ay eynidir: Windows Update və Office yeniləmələrinin quraşdırılmasına icazə verin, sonra yenidən başladın.

Outlook mesaj faylı hücumları insanlara necə çatır?

Belə hücumlar adətən fişinq kimi gəlir: BleepingComputer oxşar NTLM zəiflikləri üçün təsvir etdiyi kimi, zərərli qoşması olan e-poçt ^[2].

Microsoft deyir ki, hücumçu istifadəçini zərərli faylı açmağa inandırmalıdır ^[1]. Bu, adi fişinq məlumatlılığını ilk müdafiə xətti edir. Gözlənilməz qoşmalara, təcili tələblərə və ünvanı adına uyğun gəlməyən göndərənlərə diqqət edin.

Daha geniş yoxlama siyahısı üçün Pouyam bələdçisinə baxın: Fişinq nədir? Saxta e-poçtları, mətn mesajlarını və QR kodları necə tanımaq olar.

Təşkilatlar həmçinin xarici göndərənlərdən gələn mesaj faylı qoşmalarını poçt şlüzündə süzgəcdən keçirə və mesaj şirkətdən kənardan gələndə istifadəçiləri xəbərdar edə bilər. Bu addımlar yamağı əvəz etmir, lakin faylı ümumiyyətlə görən insanların sayını azaldır.