Outlook CVE-2026-124194: как защититься (ноябрь 2026)

Что такое уязвимость нулевого дня Outlook CVE-2026-124194?

CVE-2026-124194 - уязвимость подмены в Microsoft Outlook, которую злоумышленники эксплуатировали до появления исправления; Microsoft исправила её 10 ноября 2026 года ^[1][2].

В Руководстве по обновлениям безопасности Microsoft эта уязвимость помечена как «Exploitation Detected» (эксплуатация обнаружена), и сказано, что до исправления она публично не раскрывалась ^[1]. Тип слабости - CWE-356: продукт не предупреждает пользователя перед небезопасным действием ^[1][6].

Проще говоря, Outlook должен показывать предупреждение, прежде чем загружать содержимое из внешнего сетевого расположения. Из-за этой ошибки специально созданный файл сообщения мог заставить Outlook подключиться к серверу под контролем атакующего без показа такого предупреждения ^[1][2].

По данным BleepingComputer и SecurityWeek, это была единственная активно эксплуатируемая уязвимость нулевого дня в ноябрьском выпуске Microsoft 2026 года ^[2][3]. Microsoft указала в благодарностях исследователя под псевдонимом «nono» и Бенуа Севенса, сообщивших о ней ^[3].

Это уязвимость безопасности, а не сбой в работе сервиса.

Как работает утечка хеша NTLM через Outlook?

Атакующий отправляет специально созданный файл сообщения; если жертва откроет его в уязвимом Outlook, Windows может попытаться войти на сервер атакующего и передать хеш NTLMv2 пользователя ^[1][2].

1. Доставка: атакующий отправляет по электронной почте или иным способом передаёт вредоносный файл сообщения ^[1].
2. Действие пользователя: жертва открывает файл в Outlook. Microsoft говорит, что область просмотра вектором атаки не является, поэтому нужен щелчок для открытия ^[1].
3. Скрытое подключение: Outlook подключается к сетевому расположению под контролем атакующего без обычного предупреждения о внешнем содержимом ^[1].
4. Отправка хеша: Windows автоматически пытается пройти аутентификацию, и хеш NTLMv2 пользователя оказывается раскрыт ^[1][2].
5. Злоупотребление: атакующий может попытаться подобрать пароль по хешу офлайн или использовать хеш для аутентификации от имени пользователя ^[1][2].

NTLM - устаревший протокол входа Windows. Хеш не является самим паролем, но BleepingComputer говорит, что перехваченный хеш NTLMv2 можно взломать офлайн ^[2], а Microsoft отмечает, что NTLM подвержен атакам ретрансляции SMB, «человек посередине» и подбору ^[9]. BleepingComputer также отметило, что схожие уязвимости утечки NTLM уже эксплуатировались ранее через вредоносные вложения в фишинговых кампаниях ^[2].

В бюллетене Microsoft нет сведений о том, кого и насколько широко атаковали ^[3].

Какие версии Outlook затронуты и каковы исправленные сборки?

Microsoft указывает как затронутые Microsoft 365 Apps for Enterprise, Office LTSC 2021 и Office LTSC 2024, как в 32-разрядных, так и в 64-разрядных выпусках ^[1][5].

Ноябрьский выпуск обновлений безопасности Office 2026 года вышел 10 ноября и охватывает каждый канал обновлений ^[5]. Microsoft перечисляет CVE-2026-124194 в разделе Outlook этого выпуска ^[5]. В таблице ниже показаны исправленные сборки в том виде, в каком Microsoft указывает их для каждого канала и версии. Сравните свою сборку со строкой, соответствующей вашему каналу и версии.

Чтобы узнать свою сборку, откройте в приложении Office меню Файл, затем Учётная запись Office (или Учётная запись); раздел «Сведения о продукте» показывает название продукта и в некоторых случаях полный номер версии, а кнопка «О программе» для приложения показывает полную версию ^[10]. Чтобы установить обновление, выберите Параметры обновления, затем Обновить сейчас ^[8]. Если пункта «Параметры обновления» нет и виден только значок «О программе», ваша копия лицензирована по корпоративной лицензии или управляется организацией, поэтому воспользуйтесь Microsoft Update или обратитесь в службу поддержки ^[8].

SecurityWeek перечислило те же три затронутых продукта ^[3]. В бюллетене Microsoft затронутыми указаны только продукты Office, а за исправлением он отсылает к примечаниям к выпуску обновлений безопасности Office, поэтому накопительное обновление Windows исправлением не является ^[1][5].

Насколько серьёзна уязвимость нулевого дня в Outlook?

Microsoft оценивает её как умеренную (Moderate) с базовым баллом CVSS 3.1 6,5, но действовать стоит быстро, потому что атаки уже идут ^[1][3][4].

Вектор CVSS показывает, что требуется участие пользователя (он должен открыть файл), с высоким влиянием на конфиденциальность и без влияния на целостность и доступность ^[1].

Три факта повышают практическую срочность по сравнению с баллом:

• Подтверждённая эксплуатация: Microsoft пометила её как эксплуатируемую, а CISA добавила в каталог известных эксплуатируемых уязвимостей 10 ноября 2026 года ^[1][4].
• Кража учётных данных: Microsoft говорит, что утёкший хеш можно использовать для аутентификации от имени пользователя ^[1], и отмечает, что NTLM подвержен атакам ретрансляции и подбору ^[9].
• Доставка через фишинг: BleepingComputer говорит, что схожие уязвимости NTLM уже эксплуатировались через вредоносные вложения в фишинговых кампаниях ^[2].

CISA дала федеральным гражданским агентствам США срок до 24 ноября 2026 года для применения исправления ^[4]. CISA говорит, что неизвестно, использовали ли эту уязвимость группы вымогателей ^[4]. JPCERT/CC в Японии также выпустила предупреждение с призывом установить обновления ^[6].

Как защититься от CVE-2026-124194?

Сначала установите ноябрьское обновление Office 2026 года; в бюллетене Microsoft исправлением названо обновление, а отдельных обходных решений нет ^[1][5]. Затем рассмотрите описанные ниже общие меры усиления защиты ^[7][9].

1. Обновите Office: в Outlook выберите Файл, Учётная запись Office, Параметры обновления, Обновить сейчас либо разверните обновление через средства управления ^[5][8].
2. Проверьте сборку: сравните сборку, показанную в Outlook, со списком Microsoft для вашего канала ^[5].
3. Заблокируйте исходящий SMB: общие рекомендации Microsoft по SMB советуют блокировать исходящий TCP-порт 445 в интернет на корпоративном межсетевом экране и говорят, что он вряд ли понадобится, если только его не требует публичный облачный сервис, например Azure Files или Office 365 ^[7]. Это эшелонированная защита, а не указанное Microsoft обходное решение для этой уязвимости.
4. Не забудьте ноутбуки: Microsoft рекомендует правила исходящего межсетевого экрана на ноутбуках для публичных сетей, потому что они снижают число фишинговых атак, которые направляют пользователей на вредоносные серверы для сбора учётных данных ^[7].
5. Ограничьте исходящий NTLM: политика Windows "Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers" может проводить аудит или запрещать исходящий NTLM; Microsoft советует сначала выбрать Audit all и изучить журнал ^[9].
6. Осторожно с файлами сообщений: не открывайте неожиданные вложения-сообщения, даже от знакомых контактов.

Поскольку перехваченный хеш можно взломать офлайн ^[2], лучшая защита - длинный уникальный пароль. См. руководство Pouyam Password Managers Explained: How They Work and Whether They Are Safe.

Что делать, если вы открыли подозрительный файл сообщения?

В качестве общей меры предосторожности смените пароль учётной записи Windows или рабочей учётной записи, под которой вы были авторизованы, и сообщите в ИТ-отдел, чтобы там проверили журналы входа.

В бюллетене Microsoft сказано, что уязвимость раскрывает хеш NTLMv2 пользователя, который можно использовать для аутентификации от его имени ^[1]; шагов для тех, кто мог уже открыть такой файл, там нет. Перехваченный хеш получен из старого пароля, поэтому после смены пароля этот хеш больше не соответствует учётной записи.

• Сообщите: скажите ИТ-специалистам или службе безопасности, когда вы открыли файл и кто его отправил.
• Сохраните письмо: не удаляйте его; оно поможет следователям найти других получателей.
• Проверьте входы: администраторы могут просмотреть активность учётной записи на предмет незнакомых мест или устройств.
• Используйте многофакторную аутентификацию: она делает подобранный пароль менее полезным для входа в онлайн-сервисы, хотя не может помешать атакующему пытаться подобрать пароль по хешу.

Администраторы, включившие для политики исходящего NTLM режим аудита, увидят попытки в оперативном журнале NTLM, где указаны серверы, получающие от устройства запросы аутентификации NTLM ^[9]. Для домашних пользователей шаги проще: обновите Office, смените пароль, если открывали странный файл, и включите двухэтапный вход. Варианты сравнивает руководство Pouyam Two-Factor Authentication Explained: Which 2FA Method Is Safest?.

Что ещё исправила Microsoft в Patch Tuesday за ноябрь 2026 года?

Ноябрьский выпуск Microsoft 2026 года исправил более 1000 уязвимостей, но издания считали по-разному: SecurityWeek сообщило о 1094, а BleepingComputer - о 1235 ^[2][3].

Ни одно из изданий не объясняет разницу полностью. BleepingComputer говорит, что в его итог не входят 108 уязвимостей, исправленных ранее в этом месяце ^[2], а SecurityWeek даёт разбивку по продуктам и также упоминает 165 сторонних CVE, которые Microsoft опубликовала повторно ^[3]. BleepingComputer сообщило, что 66 уязвимостей были оценены как критические ^[2]. SecurityWeek насчитало 726 уязвимостей Windows и 174 в Office ^[3].

Ошибка Outlook была единственной уязвимостью, отмеченной как эксплуатируемая ^[1][2][3]. В выпуск вошли также последние ежемесячные обновления безопасности для выпусков Enterprise и Education Windows 11 версии 23H2, сообщило SecurityWeek ^[3].

Октябрьский выпуск был рекордно крупным: BleepingComputer сообщило о 1411 исправлениях, а SecurityWeek - о 1413 ^[2][3]. BleepingComputer отметило, что Microsoft продолжает использовать ИИ для поиска и исправления уязвимостей ^[2]. Для домашних пользователей практический совет каждый месяц один и тот же: пусть Windows Update и обновления Office установятся, затем перезагрузитесь.

Как атаки через файлы сообщений Outlook доходят до людей?

Такие атаки обычно приходят как фишинг: письмо с вредоносным вложением, как BleepingComputer описывает для схожих уязвимостей NTLM ^[2].

Microsoft говорит, что атакующий должен убедить пользователя открыть вредоносный файл ^[1]. Поэтому обычная бдительность к фишингу - первая линия защиты. Остерегайтесь неожиданных вложений, срочных просьб и отправителей, адрес которых не соответствует имени.

Более полный перечень см. в руководстве Pouyam What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes.

Организации также могут фильтровать вложения-файлы сообщений от внешних отправителей на почтовом шлюзе и предупреждать пользователей, когда сообщение пришло извне компании. Эти меры не заменяют исправление, но сокращают число людей, которые вообще увидят файл.