Компания Microsoft выпустила ежемесячный пакет исправлений и патчей в рамках программы Patch Tuesday. Обновление устраняет 1094 уязвимости в системе Windows 11 и работающих на ней приложений, в том числе одну уязвимость нулевого дня.
Уязвимость нулевого дня затрагивает почтовый клиент Outlook и отслеживается под идентификатором CVE-2026-124194. Несмотря на относительно невысокую оценку опасности в 6,5 балла из 10, специалисты призывают отнестись к ней со всей серьезностью. Схема атаки строится на социальной инженерии: хакер отправляет жертве специальный файл и вынуждает ее открыть вложение. После этого программа без каких-либо предупреждений о загрузке внешнего контента обращается к серверу злоумышленника. В процессе соединения происходит перехват NTLMv2-хеша, с помощью которого атакующий может авторизоваться в системе от имени скомпрометированного пользователя.
В самой Microsoft признали, что CVE-2026-124194 уже применяется в реальных атаках. При этом компания традиционно не раскрывает детали: неизвестно, как давно начались взломы, кто за ними стоит и что происходит после получения доступа. Публикация патча несет дополнительные риски, поскольку теперь другие киберпреступники могут изучить обновление методом обратной разработки и начать массовое сканирование сетей в поисках незащищенных клиентов. Администраторам и пользователям настоятельно советуют установить апдейт как можно скорее и с особой осторожностью относиться к входящим письмам.
Помимо этого, свежее обновление закрывает сразу две критические уязвимости категории zero-click, эксплуатация которых вообще не требует никаких действий от жертвы. Обеим проблемам — CVE-2026-116928 и CVE-2026-119958 — присвоен критический рейтинг угрозы в 9,8 балла из 10. Первая из них, CVE-2026-116928, представляет собой выход за границы выделенного буфера в компоненте Microsoft Windows Search, что открывает путь к удаленному выполнению кода. Чтобы захватить контроль, неавторизованному хакеру достаточно отправить на сервер Exchange письмо со вредоносным вложением. Поскольку система автоматически индексирует поступающие файлы, жертве даже не нужно открывать сообщение — атака сработает в фоновом режиме и позволит выполнять произвольный код с привилегиями системной службы. Вторая критическая ошибка, CVE-2026-119958, вызвана аналогичной проблемой работы с памятью, но уже в реализации протокола LDAP. Для взлома атакующему нужно лишь отправить на уязвимый узел специально сформированный сетевой запрос, что в перспективе грозит полной компрометацией контроллеров домена. Стоит также отметить, что в общей сложности пакет закрывает 30 так называемых «червеподобных» уязвимостей, способных распространяться по сети автоматически без участия человека.
Еще одной серьезной угрозой стала уязвимость CVE-2026-112967, обнаруженная в сетевой службе Windows Xbox Live Networking Service. При оценке опасности в 9,8 балла из 10 она открывает возможность для удаленного выполнения кода и не требует для атаки ни авторизации, ни участия жертвы.
