פרצת zero-day ב-Outlook CVE-2026-124194: עדכון (נוב' 2026)

מהי פרצת ה-zero-day ב-Outlook, CVE-2026-124194?

CVE-2026-124194 היא פרצת התחזות ב-Microsoft Outlook שתוקפים ניצלו לפני שהיה תיקון; Microsoft תיקנה אותה ב-10 בנובמבר 2026 ^[1][2].

מדריך העדכונים האבטחתיים של Microsoft מציג את הפרצה כ-“Exploitation Detected” ואומר שלא נחשפה בפומבי לפני העדכון ^[1]. סוג החולשה שלה הוא CWE-356, כלומר המוצר אינו מזהיר את המשתמש לפני פעולה לא בטוחה ^[1][6].

במילים פשוטות, Outlook אמור להציג אזהרה לפני שהוא מביא תוכן ממיקום ברשת חיצונית. עם הבאג הזה, קובץ הודעה שנוצר בזדון יכול היה לגרום ל-Outlook להתחבר לשרת בשליטת התוקף בלי להציג את האזהרה ^[1][2].

לפי BleepingComputer ו-SecurityWeek, זו הייתה פרצת ה-zero-day היחידה שנוצלה באופן פעיל בגרסת נובמבר 2026 של Microsoft ^[2][3]. Microsoft נתנה קרדיט לחוקר המוכר בשם “nono” ולבנואה סוונס (Benoît Sevens) על הדיווח ^[3].

זו פרצת אבטחה, לא השבתת שירות.

איך עובדת דליפת ה-hash של NTLM ב-Outlook?

התוקף שולח קובץ הודעה שנוצר בזדון; אם הקורבן פותח אותו ב-Outlook מושפע, Windows עלול לנסות להתחבר לשרת של התוקף ולמסור את ה-hash של NTLMv2 של המשתמש ^[1][2].

1. מסירה: התוקף שולח בדוא״ל או משתף בדרך אחרת קובץ הודעה זדוני ^[1].
2. פעולת המשתמש: הקורבן פותח את הקובץ ב-Outlook. Microsoft אומרת שחלונית התצוגה המקדימה אינה וקטור תקיפה, ולכן נדרשת לחיצה לפתיחה ^[1].
3. חיבור נסתר: Outlook מתחבר למיקום ברשת בשליטת התוקף בלי אזהרת התוכן החיצוני הרגילה ^[1].
4. שליחת ה-hash: Windows מנסה אוטומטית לבצע אימות, מה שחושף את ה-hash של NTLMv2 של המשתמש ^[1][2].
5. ניצול לרעה: התוקף יכול לנסות לפצח את ה-hash במצב לא מקוון או להשתמש בו כדי להזדהות כמשתמש ^[1][2].

NTLM הוא פרוטוקול כניסה ישן של Windows. hash אינו הסיסמה עצמה, אך BleepingComputer אומר שאפשר לפצח hash של NTLMv2 שנתפס במצב לא מקוון ^[2], ו-Microsoft מציינת ש-NTLM חשוף להתקפות SMB relay, אדם בתווך ו-brute force ^[9]. BleepingComputer ציין גם שפרצות דליפת NTLM דומות נוצלו בעבר באמצעות קבצים מצורפים זדוניים בקמפייני פישינג ^[2].

ההודעה של Microsoft אינה נותנת פרטים על מי הותקף או באיזה היקף ^[3].

אילו גרסאות Outlook מושפעות ומהן הגרסאות המתוקנות?

Microsoft מציינת את Microsoft 365 Apps for Enterprise, Office LTSC 2021 ו-Office LTSC 2024 כמושפעים, בגרסאות 32 סיביות ו-64 סיביות כאחד ^[1][5].

עדכון האבטחה של Office לנובמבר 2026 יצא ב-10 בנובמבר וכולל כל ערוץ עדכון ^[5]. Microsoft מציינת את CVE-2026-124194 בסעיף Outlook של אותה גרסה ^[5]. הטבלה שלהלן מציגה את הגרסאות המתוקנות כפי ש-Microsoft מפרטת לכל ערוץ וגרסה. השוו את הגרסה שלכם לשורה שמתאימה לערוץ ולגרסה שלכם.

כדי למצוא את הגרסה שלכם, פתחו File ואז Office Account (או Account) באפליקציית Office; בסעיף Product Information מופיע שם המוצר ובחלק מהמקרים מספר הגרסה המלא, והלחצן About של האפליקציה מציג את הגרסה המלאה ^[10]. כדי להתקין את העדכון, בחרו Update Options ואז Update Now ^[8]. אם Update Options חסר ורק לחצן About מופיע, העותק שלכם ברישוי כמותי או מנוהל על ידי הארגון שלכם, ולכן השתמשו ב-Microsoft Update או פנו למוקד התמיכה ^[8].

SecurityWeek מנה את אותם שלושה מוצרים מושפעים ^[3]. ההודעה של Microsoft מציינת רק מוצרי Office כמושפעים ומפנה להערות הגרסה האבטחתיות של Office לתיקון, ולכן עדכון מצטבר של Windows אינו התיקון ^[1][5].

עד כמה חמורה פרצת ה-zero-day ב-Outlook?

Microsoft מדרגת אותה כבינונית, עם ציון בסיס CVSS 3.1 של 6.5, אך היא מצדיקה פעולה מהירה כי תקיפות כבר מתרחשות ^[1][3][4].

וקטור ה-CVSS מראה שנדרשת אינטראקציה של המשתמש (המשתמש חייב לפתוח קובץ), עם השפעה גבוהה על סודיות וללא השפעה על שלמות או זמינות ^[1].

שלוש עובדות מעלות את הדחיפות המעשית מעבר לציון:

• ניצול מאושר: Microsoft סימנה אותה כמנוצלת, ו-CISA הוסיפה אותה לקטלוג Known Exploited Vulnerabilities ב-10 בנובמבר 2026 ^[1][4].
• גניבת פרטי גישה: Microsoft אומרת שה-hash שדלף יכול לשמש להזדהות כמשתמש ^[1], ומציינת ש-NTLM חשוף להתקפות relay ו-brute force ^[9].
• מסירה בפישינג: BleepingComputer אומר שפרצות NTLM דומות נוצלו בעבר באמצעות קבצים מצורפים זדוניים בקמפייני פישינג ^[2].

CISA נתנה לסוכנויות אזרחיות פדרליות בארצות הברית עד 24 בנובמבר 2026 ליישם את התיקון ^[4]. CISA אומרת שלא ידוע אם קבוצות כופרה השתמשו בפרצה ^[4]. גם JPCERT/CC ביפן פרסמה התראה שקוראת למשתמשים ליישם את העדכונים ^[6].

איך מתגוננים מפני CVE-2026-124194?

התקינו קודם את עדכון Office של נובמבר 2026; ההודעה של Microsoft מציינת את העדכון כתיקון ואינה נותנת עקיפה נפרדת ^[1][5]. אחר כך שקלו את צעדי ההקשחה הכלליים שלהלן ^[7][9].

1. עדכנו את Office: ב-Outlook בחרו File, Office Account, Update Options, Update Now, או דחפו את העדכון דרך כלי הניהול שלכם ^[5][8].
2. אמתו את הגרסה: השוו את הגרסה שמוצגת ב-Outlook לרשימה של Microsoft עבור הערוץ שלכם ^[5].
3. חסמו SMB יוצא: ההנחיה הכללית של Microsoft ל-SMB ממליצה לחסום את יציאת TCP 445 החוצה לאינטרנט בחומת האש הארגונית, ואומרת שכנראה לא תזדקקו לה אלא אם הצעה בענן ציבורי כמו Azure Files או Office 365 דורשת זאת ^[7]. זו הגנה בשכבות, לא עקיפה ש-Microsoft מציינת לפרצה הזו.
4. כסו מחשבים ניידים: Microsoft ממליצה על כללי חומת אש יוצאים במחשבים ניידים עבור רשתות ציבוריות, כי הם מפחיתים התקפות פישינג שמובילות משתמשים לשרתים זדוניים לאיסוף פרטי גישה ^[7].
5. הגבילו NTLM יוצא: מדיניות Windows “Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers” יכולה לבקר או לחסום NTLM יוצא; Microsoft ממליצה לבחור קודם Audit all ולעבור על היומן ^[9].
6. היזהרו בקובצי הודעה: אל תפתחו קבצי הודעה מצורפים בלתי צפויים, גם מאנשי קשר מוכרים.

מכיוון שאפשר לפצח hash שנתפס במצב לא מקוון ^[2], סיסמה ארוכה וייחודית היא ההגנה הטובה יותר. ראו את המדריך של Pouyam: מנהלי סיסמאות מוסברים: איך הם עובדים והאם הם בטוחים.

מה לעשות אם פתחתם קובץ הודעה חשוד?

כאמצעי זהירות כללי, החליפו את הסיסמה של חשבון Windows או העבודה שהייתם מחוברים אליו, ועדכנו את צוות ה-IT שלכם כדי שיבדקו יומני כניסה.

ההודעה של Microsoft אומרת שהפרצה חושפת את ה-hash של NTLMv2 של המשתמש, שאפשר להשתמש בו כדי להזדהות כמשתמש ^[1]; היא אינה נותנת צעדים לאנשים שאולי כבר פתחו קובץ כזה. hash שנתפס נגזר מהסיסמה הישנה, ולכן סיסמה חדשה אומרת שה-hash הזה כבר אינו תואם את החשבון.

• דווחו: ספרו לצוות IT או אבטחה באיזו שעה פתחתם את הקובץ ומי שלח אותו.
• שמרו את הדוא״ל: אל תמחקו אותו; הוא עוזר לחוקרים למצוא נמענים נוספים.
• בדקו כניסות: מנהלי מערכות יכולים לעבור על פעילות החשבון בחיפוש מיקומים או מכשירים לא מוכרים.
• השתמשו באימות רב-גורמי: הוא הופך סיסמה שפוצחה לפחות שימושית להתחברות לשירותים מקוונים, אף שאינו יכול למנוע מתוקף לנסות לפצח את ה-hash.

מנהלי מערכות שהגדירו את מדיניות NTLM היוצא למצב ביקורת יראו ניסיונות שנרשמים ביומן התפעולי של NTLM, שמזהה את השרתים שמקבלים בקשות אימות NTLM מהמכשיר ^[9]. למשתמשים ביתיים הצעדים פשוטים יותר: עדכנו את Office, החליפו סיסמה אם פתחתם קובץ מוזר והפעילו כניסה דו-שלבית. המדריך של Pouyam אימות דו-גורמי מוסבר: איזו שיטת 2FA בטוחה ביותר? משווה בין האפשרויות.

מה עוד תיקנה Microsoft ב-Patch Tuesday של נובמבר 2026?

הגרסה של Microsoft לנובמבר 2026 תיקנה יותר מ-1,000 פרצות, אך כלי תקשורת ספרו אחרת: SecurityWeek דיווח על 1,094 ו-BleepingComputer על 1,235 ^[2][3].

אף אחד מהאתרים אינו מסביר את הפער במלואו. BleepingComputer אומר שהסכום שלו אינו כולל 108 פרצות שתוקנו מוקדם יותר בחודש ^[2], ואילו SecurityWeek נותן פירוט לפי מוצר ומזכיר גם 165 פרצות CVE של צד שלישי ש-Microsoft פרסמה מחדש ^[3]. BleepingComputer אמר ש-66 מהפרצות דורגו כקריטיות ^[2]. SecurityWeek ספר 726 פרצות ב-Windows ו-174 ב-Office ^[3].

באג ה-Outlook היה הפרצה היחידה שסומנה כמנוצלת ^[1][2][3]. הגרסה כללה גם את עדכוני האבטחה החודשיים האחרונים למהדורות Enterprise ו-Education של Windows 11 גרסה 23H2, דיווח SecurityWeek ^[3].

הגרסה של אוקטובר הייתה גדולה יותר, ברמת שיא: BleepingComputer דיווח על 1,411 תיקונים ו-SecurityWeek על 1,413 ^[2][3]. BleepingComputer ציין ש-Microsoft ממשיכה להשתמש בבינה מלאכותית כדי למצוא פרצות ולתקן אותן ^[2]. למשתמשים ביתיים העצה המעשית זהה בכל חודש: תנו ל-Windows Update ולעדכוני Office להתקין, ואז הפעילו מחדש.

איך תקיפות באמצעות קובצי הודעה של Outlook מגיעות לאנשים?

תקיפות כאלה מגיעות בדרך כלל כפישינג: דוא״ל עם קובץ מצורף זדוני, כפי ש-BleepingComputer מתאר לגבי פרצות NTLM דומות ^[2].

Microsoft אומרת שהתוקף חייב לשכנע את המשתמש לפתוח קובץ זדוני ^[1]. זה הופך מודעות רגילה לפישינג לקו ההגנה הראשון. היזהרו מקבצים מצורפים בלתי צפויים, מבקשות דחופות ומשולחים שכתובתם אינה תואמת לשמם.

לרשימת בדיקה רחבה יותר, ראו את המדריך של Pouyam: מהו פישינג? איך מזהים הודעות דוא״ל, הודעות טקסט וקודי QR מזויפים.

ארגונים יכולים גם לסנן קבצי הודעה מצורפים משולחים חיצוניים בשער הדואר ולהזהיר משתמשים כשהודעה מגיעה מחוץ לחברה. צעדים אלה אינם מחליפים את העדכון, אך הם מקטינים את מספר האנשים שרואים את הקובץ בכלל.