روز صفر Outlook با CVE-2026-124194: راه وصله (نوامبر ۲۰۲۶)

نقص روز صفر Outlook با شناسه CVE-2026-124194 چیست؟

CVE-2026-124194 یک آسیب‌پذیری جعل در Microsoft Outlook است که مهاجمان پیش از وجود وصله از آن بهره‌برداری کردند؛ مایکروسافت آن را در ۱۰ نوامبر ۲۰۲۶ وصله کرد ^[1][2].

راهنمای به‌روزرسانی امنیتی مایکروسافت این نقص را «Exploitation Detected» (بهره‌برداری شناسایی شده) فهرست می‌کند و می‌گوید پیش از وصله به‌طور عمومی افشا نشده بود ^[1]. نوع ضعف آن CWE-356 است، یعنی محصول پیش از یک اقدام ناامن به کاربر هشدار نمی‌دهد ^[1][6].

به زبان ساده، Outlook باید پیش از دریافت محتوا از یک نشانی شبکه بیرونی هشدار نشان دهد. با این باگ، یک فایل پیام دست‌ساز می‌توانست Outlook را بدون نمایش آن هشدار به سروری که مهاجم کنترل می‌کند متصل کند ^[1][2].

به گزارش BleepingComputer و SecurityWeek، این تنها نقص روز صفر مورد بهره‌برداری فعال در انتشار نوامبر ۲۰۲۶ مایکروسافت بود ^[2][3]. مایکروسافت از پژوهشگری با نام «nono» و Benoît Sevens برای گزارش آن قدردانی کرد ^[3].

این یک نقص امنیتی است، نه قطعی سرویس.

نشت هش NTLM در Outlook چگونه کار می‌کند؟

مهاجم یک فایل پیام دست‌ساز می‌فرستد؛ اگر قربانی آن را در Outlook متأثر باز کند، ویندوز ممکن است سعی کند به سرور مهاجم وارد شود و هش NTLMv2 کاربر را تحویل دهد ^[1][2].

1. تحویل: مهاجم یک فایل پیام مخرب را ایمیل یا به شکل دیگری به اشتراک می‌گذارد ^[1].
2. اقدام کاربر: قربانی فایل را در Outlook باز می‌کند. مایکروسافت می‌گوید پنجره پیش‌نمایش بردار حمله نیست، پس باز کردن با کلیک لازم است ^[1].
3. اتصال پنهان: Outlook بدون هشدار معمول محتوای بیرونی به یک نشانی شبکه تحت کنترل مهاجم متصل می‌شود ^[1].
4. ارسال هش: ویندوز به‌طور خودکار می‌کوشد احراز هویت کند که هش NTLMv2 کاربر را آشکار می‌کند ^[1][2].
5. سوءاستفاده: مهاجم می‌تواند بکوشد هش را آفلاین کرک کند یا از آن برای احراز هویت به‌جای کاربر استفاده کند ^[1][2].

NTLM یک پروتکل قدیمی ورود در ویندوز است. هش خودِ گذرواژه نیست، اما BleepingComputer می‌گوید هش NTLMv2 ربوده‌شده را می‌توان آفلاین کرک کرد ^[2] و مایکروسافت یادآور می‌شود NTLM در برابر حملات SMB relay، مرد میانی و brute-force آسیب‌پذیر است ^[9]. BleepingComputer همچنین یادآور شد نقص‌های مشابه نشت NTLM پیش‌تر از راه پیوست‌های مخرب در کارزارهای فیشینگ مورد بهره‌برداری قرار گرفته‌اند ^[2].

اطلاعیه مایکروسافت درباره اینکه چه کسانی و در چه مقیاسی هدف حمله بودند جزئیاتی نمی‌دهد ^[3].

کدام نسخه‌های Outlook متأثرند و بیلدهای وصله‌شده کدام‌اند؟

مایکروسافت Microsoft 365 Apps for Enterprise، Office LTSC 2021 و Office LTSC 2024 را، هم در نسخه‌های ۳۲ بیتی و هم ۶۴ بیتی، متأثر فهرست می‌کند ^[1][5].

انتشار امنیتی Office برای نوامبر ۲۰۲۶ در ۱۰ نوامبر عرضه شد و هر کانال به‌روزرسانی را پوشش می‌دهد ^[5]. مایکروسافت CVE-2026-124194 را در بخش Outlook آن انتشار فهرست کرده است ^[5]. جدول زیر بیلدهای وصله‌شده را همان‌گونه که مایکروسافت برای هر کانال و نسخه فهرست می‌کند نشان می‌دهد. بیلد خود را با ردیفی که با کانال و نسخه شما مطابقت دارد مقایسه کنید.

برای یافتن بیلد خود در یکی از برنامه‌های Office مسیر File و سپس Office Account (یا Account) را باز کنید؛ بخش Product Information نام محصول و در برخی موارد شماره نسخه کامل را نشان می‌دهد و دکمه About برنامه شماره نسخه کامل را نشان می‌دهد ^[10]. برای نصب به‌روزرسانی، Update Options و سپس Update Now را انتخاب کنید ^[8]. اگر Update Options نیست و فقط دکمه About دیده می‌شود، نسخه شما دارای مجوز حجمی است یا سازمانتان آن را مدیریت می‌کند، پس از Microsoft Update استفاده کنید یا با پشتیبانی فناوری اطلاعات تماس بگیرید ^[8].

SecurityWeek همین سه محصول متأثر را فهرست کرد ^[3]. اطلاعیه مایکروسافت فقط محصولات Office را متأثر می‌داند و برای رفع به یادداشت‌های انتشار امنیتی Office ارجاع می‌دهد، پس به‌روزرسانی تجمعی ویندوز راه‌حل نیست ^[1][5].

نقص روز صفر Outlook چقدر جدی است؟

مایکروسافت آن را «متوسط» ارزیابی می‌کند، با امتیاز پایه CVSS 3.1 برابر ۶٫۵، اما چون حملات هم‌اکنون در جریان است شایسته اقدام سریع است ^[1][3][4].

بردار CVSS نشان می‌دهد تعامل کاربر لازم است (کاربر باید یک فایل را باز کند)، با تأثیر بالا بر محرمانگی و بدون تأثیر بر یکپارچگی یا دسترس‌پذیری ^[1].

سه واقعیت فوریت عملی را فراتر از امتیاز بالا می‌برد:

• بهره‌برداری تأییدشده: مایکروسافت آن را مورد بهره‌برداری علامت زد و CISA در ۱۰ نوامبر ۲۰۲۶ آن را به فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری افزود ^[1][4].
• سرقت اعتبارنامه: مایکروسافت می‌گوید هش نشت‌یافته می‌تواند برای احراز هویت به‌جای کاربر استفاده شود ^[1] و یادآور می‌شود NTLM در برابر حملات relay و brute-force آسیب‌پذیر است ^[9].
• تحویل از راه فیشینگ: BleepingComputer می‌گوید نقص‌های مشابه NTLM پیش‌تر از راه پیوست‌های مخرب در کارزارهای فیشینگ مورد بهره‌برداری قرار گرفتند ^[2].

CISA به نهادهای غیرنظامی فدرال آمریکا تا ۲۴ نوامبر ۲۰۲۶ مهلت داد وصله را اعمال کنند ^[4]. CISA می‌گوید معلوم نیست گروه‌های باج‌افزاری از این نقص استفاده کرده‌اند یا نه ^[4]. JPCERT/CC در ژاپن نیز هشداری صادر کرد و از کاربران خواست به‌روزرسانی‌ها را اعمال کنند ^[6].

چگونه از خود در برابر CVE-2026-124194 محافظت کنیم؟

ابتدا به‌روزرسانی Office نوامبر ۲۰۲۶ را نصب کنید؛ اطلاعیه مایکروسافت به‌روزرسانی را راه‌حل معرفی می‌کند و راه‌حل موقت جداگانه‌ای نمی‌دهد ^[1][5]. سپس گام‌های سخت‌سازی عمومی زیر را در نظر بگیرید ^[7][9].

1. Office را به‌روز کنید: در Outlook مسیر File، Office Account، Update Options و Update Now را انتخاب کنید، یا به‌روزرسانی را از راه ابزارهای مدیریتی خود توزیع کنید ^[5][8].
2. بیلد را تأیید کنید: بیلد نمایش‌داده‌شده در Outlook را با فهرست مایکروسافت برای کانال خود مقایسه کنید ^[5].
3. SMB خروجی را مسدود کنید: راهنمای عمومی SMB مایکروسافت توصیه می‌کند درگاه TCP شماره ۴۴۵ خروجی به سمت اینترنت در فایروال سازمانی مسدود شود و می‌گوید بعید است به آن نیاز داشته باشید، مگر اینکه یک سرویس ابری عمومی مانند Azure Files یا Office 365 آن را لازم داشته باشد ^[7]. این دفاع چندلایه است، نه راه‌حل موقتی که مایکروسافت برای این نقص فهرست کرده باشد.
4. لپ‌تاپ‌ها را هم پوشش دهید: مایکروسافت قاعده‌های فایروال خروجی روی لپ‌تاپ‌ها را برای شبکه‌های عمومی توصیه می‌کند، چون حملات فیشینگی را که کاربران را برای برداشت اعتبارنامه به سرورهای مخرب می‌کشانند کاهش می‌دهند ^[7].
5. NTLM خروجی را محدود کنید: سیاست ویندوز «Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers» می‌تواند ترافیک NTLM خروجی را ممیزی یا رد کند؛ مایکروسافت توصیه می‌کند ابتدا Audit all را برگزینید و گزارش را بازبینی کنید ^[9].
6. با فایل‌های پیام محتاط باشید: پیوست‌های پیام غیرمنتظره را باز نکنید، حتی از مخاطبان آشنا.

چون هش ربوده‌شده را می‌توان آفلاین کرک کرد ^[2]، گذرواژه بلند و یکتا دفاع بهتری است. راهنمای پویام Password Managers Explained: How They Work and Whether They Are Safe را ببینید.

اگر یک فایل پیام مشکوک را باز کرده‌ام چه کنم؟

به‌عنوان احتیاط عمومی، گذرواژه حساب ویندوز یا کاری را که با آن وارد شده بودید عوض کنید و به تیم فناوری اطلاعات خود اطلاع دهید تا گزارش‌های ورود را بررسی کنند.

اطلاعیه مایکروسافت می‌گوید این نقص هش NTLMv2 کاربر را آشکار می‌کند که می‌تواند برای احراز هویت به‌جای کاربر استفاده شود ^[1]؛ برای کسانی که ممکن است چنین فایلی را باز کرده باشند گامی ارائه نمی‌دهد. هش ربوده‌شده از گذرواژه قدیمی مشتق می‌شود، پس گذرواژه جدید یعنی آن هش دیگر با حساب مطابقت ندارد.

• گزارش دهید: زمان باز کردن فایل و فرستنده آن را به کارکنان فناوری اطلاعات یا امنیت اطلاع دهید.
• ایمیل را نگه دارید: آن را حذف نکنید؛ به بازپرسان در یافتن دریافت‌کنندگان دیگر کمک می‌کند.
• ورودها را بررسی کنید: مدیران می‌توانند فعالیت حساب را برای مکان‌ها یا دستگاه‌های ناآشنا مرور کنند.
• احراز هویت چندعاملی به کار ببرید: گذرواژه کرک‌شده را برای ورود به سرویس‌های آنلاین کم‌فایده‌تر می‌کند، هرچند نمی‌تواند مانع تلاش مهاجم برای کرک هش شود.

مدیرانی که سیاست NTLM خروجی را روی حالت ممیزی گذاشته باشند تلاش‌ها را در گزارش عملیاتی NTLM می‌بینند که سرورهایی را که از دستگاه درخواست احراز هویت NTLM دریافت می‌کنند مشخص می‌کند ^[9]. برای کاربران خانگی گام‌ها ساده‌تر است: Office را به‌روز کنید، اگر فایل عجیبی باز کرده‌اید گذرواژه را عوض کنید و ورود دومرحله‌ای را فعال کنید. راهنمای پویام Two-Factor Authentication Explained: Which 2FA Method Is Safest? گزینه‌ها را مقایسه می‌کند.

مایکروسافت در Patch Tuesday نوامبر ۲۰۲۶ چه چیزهای دیگری را رفع کرد؟

انتشار نوامبر ۲۰۲۶ مایکروسافت بیش از ۱٬۰۰۰ آسیب‌پذیری را رفع کرد، اما رسانه‌ها متفاوت شمردند: SecurityWeek ۱٬۰۹۴ و BleepingComputer ۱٬۲۳۵ را گزارش کرد ^[2][3].

هیچ‌یک از دو رسانه این فاصله را کامل توضیح نمی‌دهد. BleepingComputer می‌گوید مجموعش ۱۰۸ نقصی را که زودتر در همان ماه رفع شده بودند شامل نمی‌شود ^[2]، در حالی که SecurityWeek تفکیک محصولات را می‌دهد و از ۱۶۵ CVE شخص ثالث که مایکروسافت دوباره منتشر کرد نیز یاد می‌کند ^[3]. BleepingComputer گفت ۶۶ نقص بحرانی ارزیابی شدند ^[2]. SecurityWeek ۷۲۶ نقص ویندوز و ۱۷۴ نقص Office را شمرد ^[3].

باگ Outlook تنها نقصی بود که مورد بهره‌برداری علامت خورد ^[1][2][3]. به گزارش SecurityWeek، این انتشار شامل آخرین به‌روزرسانی‌های امنیتی ماهانه برای نسخه‌های Enterprise و Education در Windows 11 version 23H2 هم بود ^[3].

انتشار اکتبر بزرگ‌تر و رکوردشکن بود: BleepingComputer ۱٬۴۱۱ رفع و SecurityWeek ۱٬۴۱۳ را گزارش کرد ^[2][3]. BleepingComputer یادآور شد مایکروسافت همچنان از هوش مصنوعی برای یافتن و وصله آسیب‌پذیری‌ها استفاده می‌کند ^[2]. برای کاربران خانگی توصیه عملی هر ماه یکسان است: بگذارید Windows Update و به‌روزرسانی‌های Office نصب شوند، سپس راه‌اندازی مجدد کنید.

حملات فایل پیام Outlook چگونه به افراد می‌رسند؟

حملاتی از این دست معمولاً به شکل فیشینگ می‌رسند: ایمیلی با پیوست مخرب، چنان‌که BleepingComputer برای نقص‌های مشابه NTLM توضیح می‌دهد ^[2].

مایکروسافت می‌گوید مهاجم باید کاربر را متقاعد کند فایلی مخرب را باز کند ^[1]. این آگاهی معمول از فیشینگ را نخستین خط دفاع می‌کند. مراقب پیوست‌های غیرمنتظره، درخواست‌های فوری و فرستنده‌هایی باشید که نشانی‌شان با نامشان نمی‌خواند.

برای فهرست کامل‌تر، راهنمای پویام What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes را ببینید.

سازمان‌ها همچنین می‌توانند پیوست‌های فایل پیام از فرستنده‌های بیرونی را در دروازه ایمیل فیلتر کنند و هنگامی که پیام از بیرون شرکت می‌آید به کاربران هشدار دهند. این گام‌ها جایگزین وصله نیستند، اما شمار کسانی را که اصلاً فایل را می‌بینند کم می‌کنند.