בנובמבר Patch Tuesday של Microsoft מתקן כ־1,090 פגמים, ופגם אחד ב־Outlook מנוצל

עדכוני האבטחה של Microsoft ב־Patch Tuesday של נובמבר מתקנים כ־1,090 פגיעויות חדשות, פחות מכ־1,400 בחודש הקודם, לפי Security Affairs. רק באג אחד מותקף באופן פעיל, CVE-2026-124194, פגם זיוף ב־Outlook עם ציון CVSS של 6.5. תוקף שולח קובץ הודעה מעוצב ומשכנע את המשתמש לפתוח אותו, ולאחר מכן Outlook מתחבר למיקום שבשליטת התוקף בלי אזהרת התוכן החיצוני הרגילה, ועלול לדלוף את ה־NTLMv2 hash של המשתמש. חלונית התצוגה המקדימה (Preview Pane) אינה נתיב תקיפה, ו־Microsoft מסמנת את הבאג כמנוצל.

Security Affairs, בהסתמך על ZDI, מדגיש כמה תיקונים נוספים. CVE-2026-116928 הוא באג להרצת קוד מרחוק ב־Windows Search ללא אינטראקציה מצד המשתמש (zero-click), שאליו מגיעים דרך Exchange Server, עם ציון CVSS של 9.8. CVE-2026-119958 הוא כתיבה מחוץ לגבולות הזיכרון בשירות LDAP של Windows, שעלולה להיות הרסנית בבקרי דומיין. CVE-2026-119952, פגם להרצת קוד מרחוק ב־Schannel, מסומן ״Exploitation More Likely״. CVE-2026-119990, באג להסלמת הרשאות ב־Azure OpenAI, תוקן על ידי Microsoft כך שייאמר שאין צורך בפעולה מצד הלקוחות.

ZDI סופר 30 באגים בעלי פוטנציאל להתפשטות עצמית (wormable) החודש, לעומת 59 בחודש שעבר, ומזהיר שייתכן שהוא טועה בחלקם משום שכמה מההודעות דלות בפרטים. ZDI ממליץ לבדוק ולפרוס את התיקונים במהירות, בייחוד עבור שירותים הפונים לרשת כגון DNS, DHCP, LDAP ו־Exchange.

למה זה חשוב צוותי אבטחה צריכים לתעדף את CVE-2026-124194 משום ש־Microsoft מסמנת אותו כמנוצל, אף על פי שציון ה־CVSS שלו הוא 6.5 והוא דורש אינטראקציה מצד המשתמש. בשירותים הפונים לרשת כגון DNS, DHCP, LDAP ו־Exchange, 30 הבאגים בעלי הפוטנציאל להתפשטות עצמית (wormable) והבעיה ב־Exchange Server ללא אינטראקציה מצד המשתמש (zero-click) הופכים את סדר ההטמעה והבדיקות לעניין הדורש תשומת לב מוקדמת. חוקרים צריכים לשים לב שהפגם ב־Outlook עלול לחשוף NTLMv2 hashes, שאפשר להשתמש בהם כדי להתחזות למשתמש.